近期，天穹沙箱分析人员在样本狩猎时发现，某知名游戏厂商的RPG旗舰游戏客户端启动器由于缺乏完善的签名校验逻辑，遭银狐黑产组织DLL劫持利用，并在互联网上广泛传播。天穹沙箱已捕获到多个变种，经分析，这些样本的攻击手法相似，且均利用了相同的白程序。接下来，我们选取一个典型样本，对其进行深度分析。

近日，天穹沙箱在进行日常样本狩猎时注意到一个特殊的MacOS样本。经过天穹沙箱动态分析和人工校验，确定该样本为`Atomic Stealer`​家族，与历史版本不同的是，该样本首次采用了base64编码的osascript下载恶意载荷，因此进一步确定该样本为`Atomic Stealer`​家族新变种。Atomic Stealer (AMOS) 是专门针对MacOS系统开发的信息窃取恶意软件，于2023年4月首次被发现，此后出现多个变种，某些变种通过`.dmg`软件包进行传播，一旦安装，它将立即开始搜集系统敏感信息并发送给远程服务器。我们此次分析的就是`.dmg`软件包类型的窃密样本，以下利用天穹沙箱的自动化分析能力，对该样本的具体行径进行深入分析。

在HVV行动中，红队的黑客们总是能想出不少脑洞大开的攻击套路。本次，我们将介绍近期发现的一种新型压缩包攻击手法，攻击者将完整的Python可执行程序封装于压缩包内，通过快捷方式调用`pythonw.exe`后台执行恶意`.pyw`文件，再打开一个文档文件掩盖后台的恶意行为。目前，天穹沙箱已经发现数个使用此攻击方式的钓鱼样本，在此前的HVV专题中也简要地提到过这种攻击方法。考虑到这种钓鱼套路很容易诱使用户中招，因此我们结合天穹沙箱强大的压缩包分析功能，对此类攻击方式进行了更为深入细致地剖析。

近日，天穹沙箱团队捕获了一个名为“top.386-32.elf”的样本，经过初步分析，该样本是一个具有感染性的后门，其采用了53端口与C2通信。该样本是2024年8月1日出现的新型样本家族，因其多处用到“FZX”字符串，故将其定为“FZX家族”。该家族目前还在不停的迭代更新。本次我们以该样本为案例，向大家展示如何结合天穹沙箱来分析样本，如何理解天穹沙箱的分析结果报告。

转眼间，HVV行动已经进行两周了，奇安信天穹沙箱持续为用户提供数据安全保障。本期就分析人员对近两周用户提交HVV样本的分析总结，给大家分享我们的新发现。除分析典型样本外，我们还在文末附上了一批高价值HVV样本IOC福利，欢迎大家查阅。

近期，HVV行动进行地如火如荼，奇安信天穹沙箱在线协助用户对HVV样本进行自动化分析，后台同步开展人工研判样本分析结果，全力保障用户安全。本文整理了近期较为典型的HVV样本，其传播方式仍以钓鱼为主，通常伪造为`官方通知`、`岗位招聘`、`合法软件安装包`、`邮箱验证`、`个人简历`等文件诱导用户点击，样本家族仍以`CobaltStrike`居多，同时也出现了许多红队自写C2框架，在C2通信协议上，样本广泛使用`云函数`和`国内云服务器IP`作为C2地址，并使用`HTTPS`、`域名伪装`、`自定义协议`等技术伪装会话内容。

天穹沙箱发现一个名为“身份证正反生成.zip”的钓鱼样本近期被大量用户投递，仅从名字来看就知道这是一个典型的HVV样本。解压后发现其内部有一个名为身份证正反生成.exe的可执行文件和一个名为_internal目录，目录内有大量pyd文件。粗略看过，很容易认为该样本是一个PyInstaller打包木马，但深入分析则会发现其暗藏端倪。更有意思的是，我们发现该样本存在反沙箱行为，导致许多友商的沙箱都被成功绕过，这更加激起了我们的好奇心，因此决定一探究竟。

近日，天穹沙箱团队捕获了一个名为“查找.exe”的样本，经过初步分析，因其采用了阿里云CDN分发流量，恰逢国内HVV行动期间，很容易被误判为典型的HVV攻击样本。然而，经过深度剖析，我们揭露了其真实面目——这是由狡猾的“银狐”组织特制的恶意木马，专门设计用于在HVV行动中隐匿传播。本次我们以该样本为案例，向大家展示如何利用天穹沙箱开展自动化样本分析，如何理解天穹沙箱的分析结果报告。

PowerShell脚本反混淆功能深度融合星图实验室的两项学术研究成果，能够应对目前所有已知的反混淆手段，同时更具备美化脚本内容功能。PowerShell反混淆技术能够去除脚本中的混淆代码，恢复其原有的清晰结构和可读性，同时，结合最新升级代码智能解读功能，解析代码逻辑，分析恶意行为，揭示攻击手法，提取IOC信息，研判C2地址，为安全分析提供关键线索。

近日，天穹沙箱创新推出TQ-GPT沙箱智能分析助理，通过深度学习和理解沙箱分析报告中的关键信息与安全术语，快速准确地解读报告内容，对用户提出的问题做出详细的智能解答。通过整合安全知识数据集构建、运用SFT微调技术增强模型的专业适应性，结合文本向量化和语义表示技术，确保对报告中涵盖的静态规则识别、恶意流量分析、威胁配置评估、威胁情报洞察、动态行为建模以及漏洞利用检测等诸多要素，提供明晰而全面的解读服务。