伪装成VPN安装程序银狐最新免杀样本分析

最近几年银狐类黑产团伙非常活跃，今年这些黑产团伙会更加活跃，而且仍然会不断的更新自己的攻击样本，采用各种免杀方式，逃避安全厂商的检测，此前大部分银狐黑产团伙使用各种修改版的Gh0st远控作为其攻击武器，远程控制受害者主机之后，进行相关的网络犯罪活动。

今年银狐攻击活动非常频繁，基本上每天都有新的Loader变种出现，免杀方式多种多样，同时今年还有很多银狐攻击样本通过使用正常的数字签名来逃避安全厂商的检测，增肥技术也是银狐木马今年最常使用的免杀技术之一，通过将恶意样本体积增加到100M以上来逃避安全厂商的静态扫描。

笔者每天从各种渠道都可以捕获到很多银狐攻击样本，近日又抓到一个银狐的最新的攻击样本，伪装成VPN安装程序，样本相关信息，如下所示：

对于这类沙箱跑不出行为的样本，笔者有空的时候都会人工分析一下，下面针对这个样本进行详细分析，里面包含一些新的功能以及免杀加载方式。