魅影潜在与仿冒陷阱：银狐组织借OpenClaw装置包实验攻击活动深度剖析
宣布时间 2026-03-26“为智能时代立信 ，为立异价值护航。—— 耀世娱乐”
随着开源AI代理框架OpenClaw（“龙虾”）的爆火 ，黑产团伙“银狐”迅速借势提倡垂纶攻击活动。通过天生高仿垂纶页面 ，注册仿冒域名 ，使用搜索引擎优化（SEO）和付费广告将恶意链接置顶 ，诱导用户下载伪装成“OpenClaw外地安排工具”的恶意装置包。用户执行恶意装置包后 ，在释放出正当装置软件的同时 ，漆黑执行恶意程序 ，最终释放并执行远控木马 ，对用户盘算机举行控制 ，实现信息窃取、内网渗透、横向移动等恶意操作。攻击者通过针对装置链路的投毒 ，告竣了对目的主机险些“零门槛”的远程接受。
耀世娱乐威胁情报中心（VenusEye）近期追踪到银狐组织多个仿冒OpenClaw的站点 ，这些站点上的恶意装置包接纳了相同的攻击手法 ，凭证样本特征和ioc关联 ，这些攻击活动都归由于银狐组织。下文以一个典范的样本为例举行剖析。
用户会见仿冒网站http[:]//ai-openclaw.com.cn/ ，能看到较为细腻的下载页面 ，如下图所示：
用户点击页面中的「下载OpenClaw」按钮后 ，下载名为opealeAi_7beAole-x64.zip的压缩包。该压缩包内包括可执行程序opealeAi_7beAole-x64.exe ，其MD5值为ff28115a55b9a11d92bbb458efe0b940。
样天职析
用户执行该恶意装置包之后 ，在释放出正当装置程序的同时 ，会漆黑执行恶意程序。通过侧加载方法执行恶意DLL�？� ，读取嵌入了恶意数据的png文件 ，解密出shellcode并执行 ，经由两层解压执行 ，最终执行具有远程控制功效的恶意DLL。整体执行流程如下图所示：
原始恶意装置包
opealeAi_7beAole-x64.exe是原始恶意装置包 ，通过Inno Setup工具打包而成 ，在装置剧本中指定了文件的装置路径 ，并指定在装置历程中执行名为“9k9UV.exe”的文件。如下图所示：
用户执行opealeAi_7beAole-x64.exe之后 ，会将多个文件释放到C:\Program Files (x86)\165jut\yPSTY中。装置程序在桌面建设名为“Claw”的快捷方法 ，指向文件C:\Program Files (x86)\165jut\yPSTY\BTM1j\OpenClaw_77b4b0ac.exe ，以疑惑受害者。BTM1j文件夹中除了OpenClaw_77b4b0ac.exe之外 ，尚有一个图标文件。如下图所示：
OpenClaw_77b4b0ac.exe是海内某公司开发的正当的OpenClaw外地安排工具 ，具有有用的数字署名 ，如下图所示：
运行该程序 ，会举行OpenClaw的外地安排 ，如下图所示：
原始恶意装置包会将3个文件释放到dhbZ4文件夹中 ，如下图所示：
其中BxakJ.Mx是png名堂文件 ，可以通过图片审查软件正常翻开。如下图所示：
BxakJ.Mx中 ，在正常图片数据之后嵌入了多个恶意数据块 ，每个恶意数据块为0x200C字节 ，其中数据部分占0x2000字节。如下图所示：
恶意DLL
9k9UV.exe会被原始恶意装置包启动 ，该文件是经由改动的白文件 ，程序启动后 ，会自动加载同目录下的恶意DLL�？関TPr.4DH。在 vTPr.4DH执行历程中 ，首先定位目今历程所在目录 ，读取文件BxakJ.Mx中的恶意数据 ，通过RC4算法解密各个恶意数据块并举行拼接 ，随后建设纤程(Fiber) ，在纤程中将解密获得的明文作为shellcode执行。整体流程如下图所示：
建设纤程执行shellcode如下图所示：
第一层payload
该shellcode由两部分组成 ，第一部分是加载器 ，第二部分是经由压缩的DLL文件数据。加载器的功效是从第二部分数据解压缩出DLL文件 ，并将其加载执行。如下图所示：
第二部分的压缩数据如下图所示：
DLL文件的数据压缩算法为LZNT1 ，解压缩之后如下图所示：
解压缩后的DLL文件编译时间为2026-03-11 ，该文件经由VMP加壳 ，代码严重混淆。如下图所示：
该DLL主要有以下3个功效：
? 首先将目今文件夹及其中的文件设置为隐藏和系统属性；
? 解密出远程控制程序的设置信息 ，将设置信息的各字段加密后举行Base64编码；
? 再解密出一段shellcode ，凭证操作系统版本选择差别的历程举行注入。在Windows7系统中 ，将shellcode注入目今历程自身；在Windows10及以上版本的操作系统中 ，选择系统历程（例如sihost.exe）举行注入。
注入到历程中的shellcode与上一阶段的shellcode类似 ，同样由两部分组成 ，其功效同样是解压缩出DLL文件并加载执行。
数据压缩算法同样为LZNT1 ，解压缩前后如下图所示：
加载该DLL并执行其入口函数 ，将设置信息作为参数传入。
最终payload
解压缩出的DLL文件是最终payload ，其功效是远程控制工具。该DLL的编译时间为2026-01-08 ，也经由vmp加壳处置惩罚。如下图所示：
设置信息被作为参数转达到DLL的入口函数 ，其中包括IP、端口、木马版本、时间戳等 ，这些信息经由异或加密和Base64编码。部分内容如下图所示：
设置信息各字段的内容和寄义如下表所示：
该DLL启动后 ，首先在%ALLUSERSPROFILE%下建设名为6C9A2AEAD706160111D90B7F3748D150的文件夹并设置为隐藏和系统属性 ，在其中建设文件config.ini并写入设置信息。如下图所示：
config.ini文件的内容经由异或加密 ，其中包括ip、port、ip1、port1、ip2、port2、version等字段 ，如下图所示：
然后依次毗连设置信息中指定的各个C2 ，若是毗连失败 ，则切换到下一个。网络毗连情形如下图所示：
毗连C2乐成后 ，获取本机的盘算机名、用户名、操作系统版本、MAC地址、内网IP地址、目今时间、Telegram和微信装置情形等信息 ，压缩并加密后发送到C2。网络的信息如下图所示：
将加密后的数据举行封装 ，在头部增添了数据长度和牢靠值0x11、0x22、0x33、0x44 ，作为上线包发送到C2。对应的网络流量如下图所示：
将上线包的网络流量解密、解压 ，可以获得原始的明文信息 ，如下图所示：
然后从C2吸收控制指令并执行 ，实现远程控制功效 ，包括文件上传、文件下载、文件执行、装置插件、键盘纪录、CMD下令、绕过UAC等。剖析控制指令并执行 ，如下图所示：
其中绕过UAC举行提权如下图所示：
吸收shellcode并建设线程执行 ，如下图所示：
关联样本
我们还追踪到银狐组织的另一个仿冒OpenClaw的站点 https[:]//web-openclaw.com.cn/ ，该站点界面如下图所示：
从该站点下载的文件名为openclaw.zip ，其中包括名为openclaw.exe的恶意程序。该恶意程序接纳与上文相同的攻击手法和流程 ，释放出正当的豆包v2.2.3版以疑惑受害者。如下图所示：
装置程序漆黑释放并启动恶意�？� ，最终执行远程控制程序。C2为202.95.11.220和yyyndym.icu。
提防建议
银狐是活跃于东南亚区域的中文黑灰产团伙 ，主要通过仿冒网站和伪装热门软件装置包实验垂纶攻击 ，目的涵盖金融、电商、教育、设计等多个行业。
为有用提防银狐组织的攻击活动 ，建议用户做好以下步伐：
? 通过官方网站或可信应用市肆获取软件装置包 ，切勿点击搜索引擎广告位中的链接；
? 装置前右键审查文件属性 ，确认数字署名刊行方为正规企业；
? 装置杀毒软件并实时更新；
? 安排具备垂纶网站识别和恶意域名阻挡能力的网关/防火墙；
? 终端安排支持行为剖析能力的 EDR 产品 ，并开启历程注入、内存木马等高级威胁检测功效。
总结
银狐黑产组织借OpenClaw（“龙虾”）爆火之势提倡的垂纶攻击 ，是黑产团伙“借势热门、精准攻击”的典范案例 ，其攻击链路缜密、伪装性强、危害极大 ，不但威胁小我私家用户的信息清静 ，更对企业、科研机构等种种主体的网络清静组成严肃挑战。这也提醒宽大用户 ，在追逐热门手艺工具时 ，务必提高清静小心 ，通过官方渠道下载相关程序 ，仔细核验域名真伪 ，阻止点击生疏链接 ，同时实时更新清静软件、修复系统误差 ，从源头提防此类垂纶攻击 ，守护自身信息与系统清静。
IoCs
域名
dcleb.com
yyyndym.icu
IP
47.242.9.11
202.95.11.220
MD5
73390ba587e5fd80ae6680480c00b64f (openclawAI 7beAolenc.zip)
ff28115a55b9a11d92bbb458efe0b940 (opealeAi_7beAole-x64.exe)
90dc6ea84b87148ce4eeb723cdc1bf48 (vTPr.4DH ，恶意DLL�？�)
1e3908b4208ba22a4c5297652323841d (openclaw.zip)
e839115ff87a0c12b3b3ec5c4c98a41a (openclaw.exe)
c838a8b4b5f7b8c4fa29beffc23aa016 (9.3x8 ，恶意DLL�？�)
京公网安备11010802024551号