冰盾主动防御事件分析报告

一、执行摘要

1.1 影响范围评估

攻击影响矩阵

受影响资产清单

1.2 分析结论

二、分析推理过程

2.1 攻击推理时间线

2.2 分析结论

三、详细事件分析

3.1 阶段1：恶意安装包执行与提权（13:27:25）

用户执行了位于桌面 C:\Users\test\Downloads\ 的 SodaieMusic-v2.3.6wi_x64.exe。该文件为 Inno Setup 安装程序（文件说明 "Setup/Uninstall"）。安装程序通过 UAC 提权（consent.exe 确认），并在 %TEMP%\is-SIK9D.tmp\ 创建临时文件 SodaieMusic-v2.3.6wi_x64.tmp。此过程中，安装程序触发了 UAC 提权、临时文件释放等，最终运行了一个用于安装 UI 的进程（SodaieMusic-v2.3.6wi_x64.exe，进程 UID 7358018136898207272）。

需要注意的是，安装程序虽然名义上是"音乐播放器"，但其 `process_file_description` 字段在运行阶段显示为空白字符串，且程序未签名（未签名），需要保持警惕。

分析要点：攻击的初始载体是一个带有 Inno Setup 特征的未签名安装程序。虽然是遥测事件，但是安装程序通常需要管理员权限，提权成功后攻击者获得了高权限执行环境。

3.2 阶段2：恶意载荷释放与可疑目录启动（13:27:27 ~ 13:27:33）

安装程序向 C:\Drivers\p4xFW\ （非系统标准目录，模拟驱动目录）释放多个文件，并重命名为随机字符串文件名：qishui.exe、gGeLaq.exe（恶意载荷本体）、XbVGi4M.H2b（疑似恶意数据文件）。将恶意文件命名为 gGeLaq.exe 可视为随机生成，且该目录中叠加了多级随机子目录（dFnxaI\IOYRb2），通过复杂目录结构干扰安全人员分析。

• 落地路径：C:\Drivers\p4xFW\dFnxaI\IOYRb2\gGeLaq.exe，被伪装为系统驱动安装路径。
• 恶意载荷：gGeLaq.exe（MD5: 6B09200448B6A35972CE5AF4C24A027C，未签名）。

分析要点：正常的软件安装不会将程序安装到系统盘根目录下的驱动文件夹，且文件名称高度随机化。此处落地行为已经不符合正常软件安装逻辑，是典型的恶意软件落地行为。

3.2.1 可疑目录进程启动

从 C:\Drivers\p4xFW\dFnxaI\IOYRb2\ 启动了一个新的可执行文件 gGeLaq.exe。该目录并非系统标准可执行文件目录，启动该目录下的进程属于可疑行为。这是恶意软件常见的执行位置规避技巧（如合法路径伪装），通过在非标准位置运行二进制文件来逃避安全软件的检测。

分析要点：恶意载荷本体已经成功落地并执行。

3.3 阶段3：防御规避与进程注入（13:27:35 ~ 13:28:16）

3.3.1 重复加载 Ntdll（gGeLaq.exe 进程内）

恶意载荷进程 gGeLaq.exe 在短时间内重复加载系统核心库 ntdll.dll。

分析要点：重复加载 ntdll.dll 是典型的恶意规避手段（EDR / AV 绕过），为了在内存中寻找未被钩子的系统调用入口（Syscall Stub）来直接执行原生 API 调用，从而绕过基于用户态的钩子检测。此行为是高度对抗性恶意软件的标志。

3.3.2 银狐木马进程注入（gGeLaq → elevation_service.exe）

恶意载荷将代码映射到合法 Edge 浏览器的提权服务进程 elevation_service.exe（微软签名）中，并分配 PAGE_EXECUTE_READWRITE（RWX）内存区域。这是典型的银狐木马进程注入手法，通过将恶意代码注入到合法进程中，可以以该进程的权限执行代码，从而规避基于进程信誉的检测。

3.3.3 动态代码执行（elevation_service.exe）

被注入后的合法进程 elevation_service.exe 调用了 VirtualAlloc 分配可执行内存并动态执行代码。这种行为通常用于动态解密并运行恶意载荷，以规避静态扫描检测。

3.3.4 银狐木马进程注入（elevation_service → svchost.exe）

被渗透的 elevation_service.exe 进一步向系统关键服务宿主进程 svchost.exe 注入恶意代码。注入系统级服务宿主进程，使得恶意代码拥有 SYSTEM 权限环境。

3.3.5 重复加载 Ntdll（elevation_service.exe 进程内）

提权服务进程（已被注入）同样发生重复加载 ntdll.dll 的行为。

分析要点：恶意代码在注入合法进程后再次加载 ntdll，表明在宿主进程内同样在进行防御规避操作，基于系统调用层执行恶意功能。上述事件整体构成了一条完整的、高对抗性的注入规避链路。

3.4 阶段4：持久化与深度防御规避（13:28:30 ~ 13:28:43）

3.4.1 使用可疑路径创建恶意服务

在 services.exe（通过被注入的 elevation_service.exe 触发）创建名为 FO64qwpQs 的服务。该服务 ImagePath 路径设置为：cmd /c cd /d "C:\Drivers\p4xFW\dFnxaI\IOYRb2\" && start "" "C:\Drivers\p4xFW\dFnxaI\IOYRb2\gGeLaq.exe"。服务指向恶意载荷 gGeLaq.exe，并通过 cmd /c start 进行间接启动，增加分析/追溯难度。

3.4.2 添加 Defender 排除项

通过 PowerShell 以 Add-MpPreference -ExclusionPath 'C:\Drivers\p4xFW\dFnxaI\IOYRb2\' 的方式向 Windows Defender 添加排除路径（注册表位置：HKLM\...\Windows Defender\Exclusions\Paths）。其核心目的是为了让恶意代码和文件不被 Defender 查杀，从而规避安全检测。这是明确的对抗防御软件的行为。

3.4.3 隐匿文件与目录

通过进程（疑似服务或 cmd.exe）设置恶意的目录及文件的隐藏属性，使其在资源管理器中不可见。同时，通过 icacls 命令 C:\Windows\System32\cmd.exe /c icacls ... 对恶意文件施加访问控制：先拒绝 "Users" 组删除权限，再对 "Users" 组授予仅执行（RX）权限，确保自身可以被执行且难以被清除。

分析要点：通过创建服务的持久化机制以及多重的防御规避技术（Defender 排除、隐藏文件、拒绝删除权限）进行组合，表明攻击者在尽力维护其控制权与隐蔽性。

3.5 阶段5：横向扩展注入与 C2 通信（13:28:44 ~ 13:28:45）

将恶意代码注入到 sihost.exe。该进程是 Windows Shell Infrastructure Host，通常承载 Shell 相关 UI 进程，是可信系统进程锚点。

恶意代码最终寄生在系统进程 sihost.exe 中，并向外发起 TCP 连接至 IP 104.143.42.16、端口 45（非标准、罕见）。这是典型的 C2 通道建立。同时该进程还向 C:\ProgramData\B73A2F1F35794C43BE76EAACF72316D3 路径释放/修改文件，疑似回写配置或临时加载组件。

分析要点：攻击者通过进程注入将自己隐藏于系统关键进程 sihost.exe 内，成功建立起一条隐蔽的 C2 通信链路与持久化通道。至此，完整的攻击杀伤链闭环。

四、处置建议

4.1 紧急处置

4.2 清除与恢复

五、IOC 信息

附录 A：全量原始事件记录（32 条）

本报告基于冰盾主动防御日志，经 AI 辅助研判后产出。所载信息仅供参考，请结合实际情况综合判断。