关于黑客伪造火绒官网投递ValleyRAT
远控木马的风险提示
事件概述
接有关部门通报，ValleyRAT木马属于银狐木马变种，发现攻击者仿冒火绒安全、Line聊天软件、有道翻译等，累计发现多个C2域名，解析地址大多指向161.248.87.250、161.248.87.175两个IP地址，近一个月内的被控制IP规模达到2.5万。
ValleyRAT木马传播方式
通过溯源分析，相关攻击者通过仿冒火绒安全、Line聊天软件、有道翻译等官方网站，诱导用户下载运行的方式传播ValleyRAT木马。结合威胁情报、网络空间测绘、钓鱼网站的友情链接等数据，发现21个伪造的网站，其中12个仍然存活，包括huoronga.com、huorongsecurity.top、huorongpc.com、lineopc.com、youdaoq.com等（详见附件）。
结论和防范措施
为避免不必要的损失，建议通过官方网站统一采购、下载正版软件，尽量不打开来历不明的网页链接，不安装来源不明的软件，当发现主机感染僵尸木马程序后，立即核实主机受控情况和入侵途径，并对受害主机进行清理。
如发生相关网络安全事件，应立即启动本单位的网络安全应急预案，采取有效措施将负面影响降到最低，并第一时间报告学校网络安全办公室。
特此通报。
附件：相关IOC
序号 | 控制端IP |
1 | 161.248.87.250 |
2 | 161.248.87.175 |
3 | 103.215.77.16 |
4 | 3.0.249.229 |
5 | 95.40.120.43 |
序号 | 控制端域名 |
1 | szhuandxiaomuma-yandi.com |
2 | yandibaiji0203.com |
3 | yandishuang1234.com |
4 | yandishuangshang6789.com |
5 | yandibaiji0219.com |
6 | pdxfacai888.com |
7 | yandibaiji0310.com |
8 | pdxing-szxmm-0127.com |
序号 | 仿冒网站域名 | 仿冒对象 | 存活状态 |
1 | huoronga.com | 火绒 | 存活 |
2 | huorongsecurity.top | 火绒 | 存活 |
3 | huorongpc.com | 火绒 | 存活 |
4 | huorongcn.com | 火绒 | 不存活 |
5 | huorongh.com | 火绒 | 不存活 |
6 | huorongs.com | 火绒 | 不存活 |
7 | pc-huorong.com | 火绒 | 不存活 |
8 | huorong-zh.com | 火绒 | 不存活 |
9 | win-huorong.com | 火绒 | 不存活 |
10 | huoronge.com | 火绒 | 不存活 |
11 | huorongr.com | 火绒 | 不存活 |
12 | huorongt.com | 火绒 | 不存活 |
13 | googleyzq1.com | Google Authenticator验证器 | 存活 |
14 | lineopc.com | Line聊天软件 | 存活 |
15 | linerpc.com | Line聊天软件 | 存活 |
16 | kuaifancn.com | 快帆VPN | 存活 |
17 | youdaou.com | 有道翻译 | 存活 |
18 | youdaoq.com | 有道翻译 | 存活 |
19 | telegramrn.org | Telegram聊天软件 | 存活 |
20 | teamsqs.com | Teams协同办公 | 存活 |
21 | gmailpc.com | Gmail邮箱 | 存活 |
