【风险提示】关于黑产团伙批量搭建高仿真钓鱼网站大规模传播银狐木马的风险提示 |资讯详情|教育数字化知识图谱|海贝达

【风险提示】关于黑产团伙批量搭建高仿真钓鱼网站大规模传播银狐木马的风险提示

类型:通知公告来源：泉州师范学院 2026-05-26

关联：泉州师范学院收藏 0人收藏 咨询

一、事件概述

近期，CNCERT监测发现银狐远控木马通过批量生成的高仿真钓鱼网站大规模传播，样本落地后将Shellcode注入系统关键进程执行远控，与境外C2服务器建立持久化连接，实现对主机的隐蔽控制。黑产团伙疑似利用AI工具大幅提升钓鱼页面制作效率，结合域名批量注册、仿冒网站访问流量精细化监测等手段，形成“网络钓鱼→木马下载→进程注入→远控控制”的完整攻击链。

二、钓鱼网站特征分析

对2026年2月6日-5月4日注册的439个钓鱼网站域名进行分析，这些网站的主要特点如下：

1）钓鱼网站主要围绕办公软件、浏览器和通讯/代理类软件进行仿冒，其中wps、chrome合计340个，占77.4%。

2）注册行为具有明显的批量化特征，发现最高峰一分钟内注册15条letsvpn相关域名。

3）域名后缀策略高度集中，hl.cn 占42.6%，com.cn占30.8%，二者合计73.4%。

4）命名模板复用明显，常见关键词包括zh、cn、apps、web、office并大量使用字母重复、缺字、错拼等手法。

5）钓鱼网站在bing搜索网站上通过SEO投递，确保网站能在bing.com网站搜索到；钓鱼网站会检测refer头信息，确保访问必须来自搜索引擎，若直接通过域名访问，这些钓鱼网站会跳转bing.com或者其他不可访问的网站，防止钓鱼网站被分析。

6）钓鱼页面并未对官方网站进行原样仿造，而是呈现出高度标准化的前端结构、清晰规整的 HTML 注释，且大量采用通用化前端技术栈。针对同一仿冒主题（如 Chrome 浏览器），不同时间注册的页面在布局与内容上均不统一。综合判断，此类钓鱼页面疑似由AI 编码快速生成。

被仿冒软件占比分布：

相似软件	数量	占比
google/chrome	179	40 . 80 %
wps	161	36 . 70 %
telegram	24	5 . 50 %
letsvpn	18	4 . 10 %
whatsapp	12	2 . 70 %
kuailian	11	2 . 50 %
youdao	10	2 . 30 %
bitbrowser	5	1 . 10 %
clash	4	0 . 90 %

顶级域名占比分布：

顶级域名	数量	占比	含义
hl.cn	187	42 . 60 %	中国黑龙江地域二级域名
com.cn	135	30 . 80 %	中国商业机构二级域名
cn	102	23 . 20 %	中国国家顶级域名
ac.cn	8	1 . 80 %	中国科研 / 学术机构二级域名
hk.cn	5	1 . 10 %	中国香港地域二级域名
hn.cn	1	0 . 20 %	中国湖南地域二级域名
ah.cn	1	0 . 20 %	中国安徽地域二级域名

三、案例分析

（一）批量搭建钓鱼网站

攻击者疑似使用AI技术批量化搭建钓鱼网站。该黑产团伙批量制作仿冒Chrome、Clash、WPS等主流常用软件的高仿真钓鱼页面，将页面伪装成官方正版下载入口，以此诱导用户点击并下载恶意程序。如下图所示，为仿冒Chrome、WPS、Clash下载的钓鱼页面样例。

这些仿冒网页前端代码有较强的编码固定格式，且对代码段有相对应的注释说明，如下图所示，仿冒有道翻译和Clash的两个网站，其html代码样式高度一致。

（二）恶意木马投递

攻击者通过钓鱼网站完成木马投递。钓鱼网站会向用户提供携带恶意程序的压缩包下载链接，相关恶意资源文件大多存储于境外云存储服务平台或国内云对象存储服务中，通过多层跳转下载的方式迷惑用户，降低早期被检测拦截的概率。

（三）系统进程注入

银狐木马样本执行后实施进程注入行为。样本运行后，在安装真实Chrome、WPS等软件的同时，会将恶意shellcode注入到ctfmon.exe、sihost.exe、svchost.exe、elevation_service.exe等系统关键进程中，以合法系统进程为掩护，实现恶意代码的隐蔽运行。下图为EDR产品告警，可以看出，被控主机与C2的通信均使用Windows的系统进程。

（四）远程控制连接

被注入进程主动发起远控连接。被植入恶意代码的系统进程会主动外联境外C2服务器，通信端口主要为443端口与22端口，成功建立连接后接收攻击者下发的远控指令，完成数据窃取、文件操作、持久化驻留等恶意行为。

（五）钓鱼网站访问统计

这些钓鱼页面使用了免费流量统计技术服务提供商51.LA的网站统计来对钓鱼网站的访问量，访问时长，来源页面等来做统计分析。利用这些统计数据，黑产团伙能够专业化的开发钓鱼网站，计算钓鱼网站的ROI（投入产出比），精准优化钓鱼策略，提升攻击成功率。下图为钓鱼网站的统计代码。

每种钓鱼应用会通过不同的ID进行区分统计，各应用对应ID的如下表所示。

仿冒对象	统计 ID
clash	L 4 rC 8 E 7 ISMR 5 cOyi / L 56 E 7 kDSHNvNpfzY
快连	L 4 NNnKpJZ 0 RcW 8 GY / L 4 e 6 WH 4 KcxTQEsJO
chrome	L 4 eCf 0 G 8 oXvab 2 n 7 / L 4 S 9 pW 46 ugZ 5 HLhW
teams	L 4 ixuUuJi 0 dA 2 nYF
WPS	L 5 OOMojcmFzavw 26
搜狗浏览器	L 5 MbevAiByh 9 Bosu
telegram	L 5 TOP 7 tRWKlFL 5 Su

四、恶意样本分析

对仿冒Chrome的应用的安装包进行分析，发现该软件运行后会安装真实的Chrome软件，同时该程序会将恶意代码注入系统进程中隐藏自身。样本相关信息如下表所示：

该样本为“Inno Setup”打包的软件安装文件，样本打包于2026年1月2日。

安装文件运行后会在“C:\Drivers\ySCqV\cb3uGF\s6quO\VPUE”目录下释放文件并运行可执行文件Hveuh3.exe。

Hveuh3.exe具有无效的数字签名，且含有PDB路径：“E:\CC\lab_release\video\src\client2\GameLiveTool\Release\x64\D3DHook.pdb”。通过该PDB地址分析可执行文件是基于一个游戏录屏、直播、外挂检测项目的正常代码，样本编写者可能具有游戏外挂编写能力，同时做了远控木马的开发。