瑞星揭秘“銀狐木馬”雙線攻擊方式
2025-07-02
信創產業網
“尊敬的客戶，您的發票已生成，點擊下載作為報銷憑證……” 這樣一封看似普通的銀行電子發票通知郵件，卻可能是黑客撬開你電腦大門的鑰匙。
近日，瑞星威脅情報平臺捕獲到“銀狐木馬”新一輪的攻擊，他們通過偽造發票郵件和聊天文件，借助合法軟件的外衣大肆竊密，金融機構和普通用戶都已成為目標。
攻擊事件一：釣魚郵件借“白加黑””技術劫持系統
瑞星安全專家深入追蹤發現，“銀狐木馬”團伙針對國內某銀行發動精密釣魚攻擊，以發票通知作為誘餌，向銀行員工郵箱發送釣魚郵件，郵件域名偽裝成正規機構，內嵌“百度”樣式鏈接（如：hxxps://baidu.com@xxxxx.cn），極具迷惑性。一旦點擊，便會跳轉到高仿的驗證頁面，誘導用戶下載名為“票單.zip”的壓縮包。
瑞星安全專家介紹，該壓縮包內含有經德國安博士（Avira）合法簽名的程序，卻暗藏DLL惡意程序。“銀狐木馬”正是通過這種“白加黑”的方式繞過安全軟件檢測，偷偷獲取管理員權限，并下載其核心模塊。
攻擊事件二：聊天文件用“硬件綁定”加密術
除了釣魚郵件，“銀狐木馬”的另一分支通過聊天軟件傳播名為"明細查詢.zip"的壓縮包。解壓后可以看到大家熟悉的“微軟電腦管家”程序，但這實則是黑客篡改后的“毒匣子”，該程序附帶的配置文件已被修改，會主動加載“m$RECYCLE.BIN”目錄下的惡意程序。
瑞星安全專家介紹，惡意程序會讀取電腦硬盤序列號和主板信息，生成一個32字節的獨特密鑰，這種機制使得惡意代碼只在目標設備上被激活，讓安全人員分析難度變大。并且，木馬還會將自身拆分成多個.dat文件，平時以碎片形式隱藏在系統深處，僅在執行時通過cmd命令動態拼接，這種 “碎片攻擊”讓傳統殺毒軟件難以識別。
瑞星警示：銀狐木馬持續活躍，且危害巨大
瑞星安全專家介紹，銀狐木馬（又名毒鼠、谷墮、游蛇），是近年來國內非常流行的一個遠控木馬。自2022年9月起開始活躍，主要針對企事業單位管理人員、財務人員、銷售人員及電商賣家進行釣魚攻擊。攻擊團伙通過投遞遠控木馬，獲得受害者的計算機控制權限，在系統內長期駐留，監控用戶日常操作，竊取敏感信息，利用受害者的即時通信軟件來發送具有針對性的釣魚、欺詐類信息，實施釣魚攻擊和詐騙等違法行為。
正是這種深度潛伏與全面操控的特性，讓銀狐木馬極具威脅性：
● 偽裝隱藏：把自己注入到系統進程中，避免被任務管理器發現；
● 數據竊密：實時記錄鍵盤輸入、截取屏幕畫面，甚至能遠程查看聊天記錄；
● 毀尸滅跡：清理系統日志、關閉殺毒軟件防護，讓黑客操作不留痕跡。
更可怕的是，木馬會隨時接收黑客指令，可執行關機、刪除文件、下載新病毒等操作。
瑞星四步防護建議：
由于近期“銀狐木馬”頻繁活動，借助帶有合法數字簽名的文件作為掩護，對用戶的迷惑性極強，因此瑞星安全專家建議廣大用戶：
1. 不打開可疑文件。
不打開未知來源的可疑的文件和郵件，防止社會工程學和釣魚攻擊。
2. 部署EDR、NDR產品。
利用威脅情報追溯威脅行為軌跡，進行威脅行為分析，定位威脅源和目的，追溯攻擊的手段和路徑，從源頭解決網絡威脅，最大范圍內發現被攻擊的節點，以便更快響應和處理。
3. 安裝有效的殺毒軟件，攔截查殺惡意文檔和惡意程序。
殺毒軟件可攔截惡意文檔和惡意程序，如果用戶不小心下載了惡意文件，殺毒軟件可攔截查殺，阻止病毒運行，保護用戶的終端安全。
4. 及時修補系統補丁和重要軟件的補丁。
許多惡意軟件經常使用已知的系統漏洞、軟件漏洞來進行傳播，及時安裝補丁將有效減少漏洞攻擊帶來的影響。
推薦廠商
廠商動態