深入銀狐 Part 3：從 DLL 側載到 ValleyRAT，完整拆解記憶體載入與反鑑識鏈
銀狐載入鏈的最終使用者態環節：合法簽章的 NtHandleCallback.exe 側載惡意 log.dll，以三條並行執行緒同時 RC4 解密並在記憶體執行 ValleyRAT 核心、部署兩支核心驅動做反鑑識、維持 Defender 排除；ValleyRAT 把 C2 設定與 plugin 藏進 HKCU\Console Registry，只刪檔或封 C2 都清不乾淨。
開啟資安 · OIS Threat Research
Seeing farther.
Looking deeper.
追進攻擊鏈，看見威脅全貌。 OIS Threat Research 從第一線事件現場出發，拆解惡意程式、追蹤威脅對手，揭露攻擊背後的工具、手法與意圖。
Campaign
「Roiese」台灣企業存取權兜售事件：FortiBleed 外洩的二次散佈
一名初始存取掮客「Roiese」於暗網與 Telegram 兜售 96 家台灣企業的網路存取權。經與 Hudson Rock 公開資料集交叉比對，推測該資料源自 2026 年 6 月的 FortiBleed 憑證外洩事件。該名單為攻擊者宣稱，樣本本身無法證明任何一家已遭入侵。建議供應鏈涉及名單網域的組織立即輪替相關帳號憑證，以阻斷密碼潑灑濫用。
Read research →Latest research 最新研究
全部研究 →深入解析 mshta.exe：Windows 原生工具在攻擊鏈中的濫用與實務分析
mshta.exe 是 Windows 內建、用於執行 HTA 的合法工具，因高系統權限而被攻擊者濫用為 LOLBin 載入器。本文以偽裝 NotebookLM 的 copy-paste 釣魚案例，拆解其遠端載入 HTA、以排程工作重塑程序鏈規避「mshta→powershell」偵測的手法，並整理 RunMRU、PowerShell 歷史與 Prefetch 等可還原行為的鑑識痕跡。
Silver Fox APT 攻擊活動分析：結合 SEO 與偽冒網站的 Fake Line 推送手法
銀狐以 SEO 投毒與偽冒 LINE 下載網站投放惡意安裝檔：使用者誤入排在官方載點之後的釣魚站，經外部腳本與短連結拉取壓縮檔；解壓執行後以 UAC 提權、Windows Native API 直接 syscall 注入 Chrome elevation_service.exe，建立 SYSTEM 服務持久化，並注入 sihost.exe 與 C2 43.102.44[.]165 通訊。
深入銀狐 Part 2：失效工程：EDR 消失術
銀狐載入鏈第二階段的控制程式 men.exe 專為「在 EDR 仍在線時清場」而設計：以 BYOVD 載入帶漏洞的簽章驅動在 Ring 0 強制終止防護，再用惡意驅動致盲並刪除 EDR，並以分段投放、延後解密與 DACL 反蒐證為 ValleyRAT 核心鋪路。
深入銀狐 Part 1：載荷落地，Inno Setup 與 Pascal 的隱形載入鏈
銀狐 APT 以 Inno Setup 安裝器夾帶惡意 Pascal 腳本，在安裝過程即完成環境偵測、把整個 C 槽加入 Defender 排除、偵測防護軟體後停用網卡阻斷回報，再解密投放下一階段載入器 men.exe。本文還原這條偽裝成正常安裝的落地載入鏈。