銀狐（又名：“游蛇”“谷墮大盜”等）是一款專門針對企事業單位管理、財務等從業人員進行攻擊的木馬病毒變種之一，通過微信、QQ、郵件以及偽造工具網站等渠道進行釣魚攻擊，主要面向政府、高校及企事業單位等關鍵行業，攻擊目標集中在財務和會計領域的專業人員，多採用進程注入、無檔案攻擊及簽名偽造等多種技術繞過安全防護，遠程控制受害者的計算機，竊取用戶的敏感數據和財產信息，具有高度隱蔽性，對中國企事業單位和個人的信息安全構成嚴重威脅。
銀狐木馬改寫自開源的Gh0st木馬，為4.0版本。2022年9月起，開始活躍。2024年6月，瑞星威脅情報平台捕獲到一起銀狐木馬最新的攻擊活動；7月，多地公安發布關於“銀狐”木馬的預警通告；11月22日，國家計算機病毒應急處理中心發布預警報告，提示近期在中國境內發現針對中國用戶的“銀狐”木馬病毒最新變種。
銀狐木馬能夠獲取受害者的計算機控制許可權並長期駐留，通過遠程控制受害者的計算機，竊取用戶敏感信息，並通過監控受害者的日常操作，達到竊取隱私的目的，為後續實施詐欺等行為鋪路。可利用NetBox工具的特性，誘使計算機自動執行預先設定的惡意腳本，巧妙地規避了常規的安全防護措施，顯示出其潛在的高風險性。從事財稅和金融業務人員務必提高警惕，防範以計算機病毒為作案工具的電信網路詐欺活動，在官方網站下載日常使用的工具和軟體，電腦要安裝防毒軟體並及時更新，遇到網路轉賬請求，應當面核實。
基本介紹
- 中文名：銀狐
- 別名：游蛇、谷墮大盜
- 出現時間：2024年
- 傳播途徑：通過微信、QQ、郵件以及偽造工具網站等
- 目的：竊取用戶的敏感數據和財產信息
- 特點：隱蔽性、欺詐性
- 目標：財務、稅務、人事以及IT運營等人員
含義,歷史沿革,發現“銀狐”,揭秘“銀狐”,捕獲“銀狐”,攻擊原理,運行相關程式,冒充他人,特點,隱蔽性,欺騙性,控制性,危害性,攻擊套路,攻擊步驟,攻擊步驟一,攻擊步驟二,攻擊步驟三,傳播方式,偽裝檔案誘騙點擊,利用釣魚網頁,誘導下載木馬,藉助正規軟體漏洞,獲取系統許可權,冒充身份,製造緊迫感,利用系統或軟體漏洞,遠程代碼執行,郵件傳播,病毒感染特徵,釣魚信息特徵,檔案特徵,危害,防範措施,提高警惕,安全下載,安全檢查,防病毒軟體,加強防護,守好資金,
含義
“銀狐”木馬是一類針對企事業單位人員進行釣魚攻擊的木馬，木馬病毒程式的變種大多只針對安裝Windows作業系統的傳統PC環境，犯罪分子也會在檔案名稱中設定“電腦版”“PC版”等關鍵字以誘導受害用戶在相應環境下安裝，攻擊團伙通過投遞遠控木馬，獲得受害者的計算機控制許可權，在系統內長期駐留，監控用戶日常操作，竊取敏感信息或數據，利用受害者的即時通信軟體來傳送具有針對性的釣魚、欺詐類信息，實施釣魚攻擊和詐欺等違法行為。
歷史沿革
發現“銀狐”
銀狐木馬是近年興起的遠控竊密木馬，2022年9月起開始活躍，並越顯猖獗。
“銀狐”最早被發現時，是一名從事金融行業的客戶經理髮現自身賬號被盜取，在工作社交平台或內部辦公平台投遞備註名稱被改為“XX發票或增值稅解決方案”後的惡意檔案，不斷向外發出信息，誘導不少客戶點擊。經過團隊對“銀狐”團伙幾個月的長期研究和追蹤，分析師發現他們使用的木馬被廣泛使用在不同行業領域的目標系統上。雖然攻擊方式和傳播方式十分相似，但有些也存在明顯差異。
揭秘“銀狐”
2023年3月，微步捕獲並揭秘了一個已經被廣泛地去中心化傳播的黑產工具——“銀狐”，一起黑產團伙偽裝成辦理業務的客戶，通過常見的即時通訊工具向金融、證券、教育等行業投遞釣魚木馬的攻擊事件，其攻擊手法相對新穎，很多傳統防毒軟體等無法檢測出來，且整體對抗更新速度也很快，十分狡猾，因此將該組織命名為“銀狐”。在微步的研判下，“銀狐”團伙使用的攻擊手法，以及最終的攻擊載荷(經過修改的Gh0st木馬)為該團伙攻擊的典型特徵；同年7月，分析師發現了“銀狐”使用木馬的一個版本的源碼winos，它改寫自開源的Gh0st木馬，其版本號為4.0，並且目前在黑產圈已存在一定範圍的傳播，已經更新到了最新的5.26版本。通過分析該源碼，發現與很多經典的遠控木馬十分類似，Winos主要包括上線模組和功能模組。上線模組的功能維持後門，主要接受命令、執行功能模組；功能模組包括播放監聽、查註冊表、差異螢幕、代理映射、服務管理、高速螢幕、後台螢幕、極速搜尋、鍵盤記錄、揭秘數據、前台視窗、視頻查看、檔案管理、系統管理、娛樂螢幕、語音監聽、遠程交談、遠程終端、指令集和注入管理等眾多手段。最終認定所謂的“銀狐”並不是一個黑產團伙，而是一個當前在黑產圈廣泛使用的、去中心化傳播的黑產木馬，即一個黑產工具，任何攻擊者都可以獲取和使用。
捕獲“銀狐”
2024年6月，瑞星威脅情報平台捕獲到一起銀狐木馬最新的攻擊活動，目標對準中國財務和會計領域的專業人員；7月，已有多地公安發布關於“銀狐”木馬的預警通告，該病毒通常在獲得計算機控制許可權後會在系統內長期駐留，通過監控受害者的日常操作，以尋發起詐欺的契機；截止8月16日，銀狐已疊代6大版本，分別是V1.1、V1.2、V1.3、V2.1、V2.2和V2.3，以攻擊組件部署方式，惡意樣本投遞方式上不斷升級，變化，與殺軟持續對抗。除此之外，銀狐木馬還使用白加黑、加密payload、記憶體載入等免殺手段，逃避殺軟檢測；9月29日，火絨威脅情報中心監測到一批“銀狐”系列變種木馬，發現樣本具有檢測沙箱和防毒軟體的行為，還會下載 TrueSightKiller 驅動關閉殺軟，同時下載創建計畫任務的 Shellcode 實現持久化，最終下載後門模組實現遠程控制；11月22日，國家計算機病毒應急處理中心發布預警報告，提示近期在中國境內發現針對中國用戶的“銀狐”木馬病毒最新變種，攻擊者虛構財務、稅務等主題的釣魚網頁，通過微信群傳播病毒下載連結。 12月，國家計算機病毒應急處理中心和計算機病毒防治技術國家工程實驗室依託國家計算機病毒協同分析平台，在我國境內再次捕獲發現針對我國用戶的“銀狐”木馬病毒的最新變種。在本次傳播過程中，攻擊者繼續通過構造財務、稅務違規稽查通知等主題的釣魚信息和收藏連結，通過微信群直接傳播包含該木馬病毒的加密壓縮檔檔案。
攻擊原理
運行相關程式
銀狐攻擊者通過構造財務、稅務等主題的釣魚網頁，通過微信群傳播該木馬病毒的下載連結。用戶點擊上述釣魚連結後，釣魚網頁會根據用戶終端類型進行跳轉，如果用戶使用手機終端訪問，則會提示用戶使用電腦終端進行訪問；用戶使用電腦終端訪問連結後會下載檔案名稱為“金稅四期（電腦版）-uninstall.msi”的安裝包檔案或“金稅五期（電腦版）-uninstall.zip”的壓縮檔檔案（內含同檔案名稱的可執行程式檔案），實際為“銀狐”木馬病毒家族的最新變種程式。如果用戶運行相關程式檔案，將被攻擊者實施遠程控制、竊密、網路詐欺等惡意活動並充當進一步攻擊的“跳板”。銀狐攻擊團伙通過投遞遠控木馬，獲得受害者的計算機控制許可權，在系統內長期駐留，監控用戶日常操作，竊取敏感信息，利用受害者的即時通信軟體來傳送具有針對性的釣魚、欺詐類信息，實施釣魚攻擊和詐欺等違法行為。
冒充他人
銀狐團伙會通過購買搜尋引擎的競價排名，使自己開發的捆綁了惡意組件的木馬排名靠前，以及仿冒近年來流行的電子發票下載形式來進行木馬傳播，同時還會採取冒充他人的形式，通過即時通訊工具進行傳播。在攻擊成功後，他們會獲得受害者終端的使用許可權，操作主機上的微信將自己提前準備的小號拉入工作群，並將受害者踢出，再將小號根據受害者賬號信息進行偽裝，從而繼續傳播木馬。
特點
隱蔽性
銀狐木馬利用NetBox工具的特性，在啟動時具備載入同目錄下檔案的能力，誘使計算機自動執行預先設定的惡意腳本，以此實現入侵目的。這種手段不僅隱蔽性強，而且巧妙地規避了常規的安全防護措施，顯示出其潛在的高風險性。
欺騙性
銀狐木馬常偽裝成與財務、工作、補貼等相關的正常工作檔案，極具欺騙性，容易誘使用戶點擊下載，一旦用戶打開這些偽裝的檔案後，後台就會運行木馬程式，從而入侵用戶的設備。同時，該木馬會冒充受害者的身份，在微信群內進行更廣泛的傳播。
控制性
銀狐木馬一旦完成對受害者設備的感染便會開啟免殺對抗機制，為了能長期控制用戶電腦，利用一些正規的企業管理軟體來實現在系統中的長期駐留，比如：ip-guard、固信終端安全、陽途終端安全等軟體，這類軟體本身是用於企業通過管控平台對終端設備進行集中管理和運行監控管理使用的，木馬利用管控軟體的這一特性，靜默或誘騙用戶安裝其客戶端，並在後台對用戶實施監控和遠程控制。
危害性
“銀狐”主要是黑客組織和網路犯罪團伙，利用惡意軟體來實施網路攻擊、竊取機密或勒索等，目標集中在中國國內財務和會計領域的專業人員，一旦用戶點擊了相關程式檔案，便會激活隱藏惡意代碼，並釋放多個惡意檔案，添加計畫任務，對計算機實施遠程控制，並將控制更多的計算機，伺機進行惡意活動，對用戶構成較大的安全威脅。
攻擊套路
病毒版本 | 傳播方式 | 檔案類別 | 攻擊手法 |
|---|---|---|---|
V1.1 | 偽造網站、偽裝程式 | 執行檔 | 多次打包，白加黑 |
V1.2 | 即時通訊工具、釣魚郵件 | 獨立釋放工具，白加黑 | |
V1.3 | 即時通訊工具、釣魚郵件 | 執行檔 | 外鏈訪問檔案共享服務，白加黑 |
V2.1 | 即時通訊工具、釣魚郵件 | CHM或VBS | 內部之行CHM內嵌版本 |
V2.2 | 即時通訊工具、釣魚郵件 | VBE格式 | 除腳本執行外，新增IE設定修改 |
V2.3 | 即時通訊工具、釣魚郵件 | VBE格式 | CHM模板更新 |
攻擊步驟
攻擊步驟一
"銀狐"木馬在最新的攻擊中，首先通過釣魚郵件向企業財務或會計人員傳送了一個名為“(六月)偷-漏涉-稅-違規企業名單公示”的誘餌表格。表格打開後，會顯示偽造的“國家稅務總局稅務局稽查局”發布的抽查企業公示名單，目的是利用他們對此類信息的關注度，誘使他們進行下一步的操作。
攻擊步驟二
抽查企業公示名單中內嵌一個顯眼的“點擊查看”按鈕，這是“銀狐”木馬精心設計的陷阱。其目的是利用表格內容吸引受害者點擊，進而查看所謂的“稅務局企業名單”。一旦點擊該按鈕，受害者將進入釣魚網站，並自動下載一個含有惡意程式的壓縮檔案。
攻擊步驟三
受害者解壓後會出現兩個檔案：一個是名為“重點稽查企業名單-終端”的執行檔(exe)，另一個為隱藏惡意代碼的ASP腳本。若受害者點擊了這個偽裝成“企業名單”的exe檔案，便會激活ASP腳本。隨即，該腳本將自動執行、下載額外的AutoHotKey腳本和其他必要的組件。"銀狐"木馬會通過這些腳本，在受害者的計算機上部署Gh0st遠程控制木馬，進而實現其竊取敏感信息的最終目的。
傳播方式
偽裝檔案誘騙點擊
銀狐木馬通常偽裝成與財務、工作、補貼等相關的檔案，誘騙用戶打開，從而激活病毒，如 “企業補貼政策名單.msi”“12 月稽查稅務.msi”“薪資檔案”“人員名單” 等，通過微信聊天群或個人聊天視窗傳送給用戶。這些檔案名稱看起來與正常的工作檔案相似，極具欺騙性，容易誘使用戶點擊下載。當用戶打開這些偽裝的檔案後，可能會看到一些看似正常的內容，但實際上在後台已經開始運行木馬程式，從而入侵用戶的設備。
利用釣魚網頁
銀狐木馬通過偽裝成稅務機關、稅務稽查通知、企業管理平台登錄頁面、成績查詢、錄取查詢等類似的釣魚網站，通過QQ、微信、Telegram等傳送釣魚檔案或網站連結，傳播過程中常用“發票”、“單據”、“報稅”、“稅務軟體”、“高考成績”、“中考成績”、“錄取結果”等名稱，誘導受害者點擊並進行釣魚傳播，或通過SEO廣告偽造虛假網站進行傳播，這些頁面的網址和界面設計都與真實頁面極為相似，用戶難以辨別真偽。
帶有木馬安裝包的釣魚頁面
誘導下載木馬
用戶在訪問銀狐釣魚網頁時，頁面會提示用戶下載相關的檔案或外掛程式，聲稱是查看通知或登錄系統所必需的。一旦用戶下載並運行這些檔案，銀狐木馬就會趁機侵入設備。
藉助正規軟體漏洞
銀狐木馬會利用一些正規的企業管理軟體的漏洞或特性來實現入侵和長期駐留。例如，它可能會靜默或誘騙用戶安裝被其篡改的企業管理軟體客戶端，如ip-guard、固信終端安全、陽途終端安全等。這些軟體本身具有一定的信任度，不會被安全軟體輕易攔截，從而為木馬的傳播提供了便利。
獲取系統許可權
銀狐木馬偽裝成微信、WPS、釘釘、搜狗拼音、PDF、壓縮軟體、PPT、美圖秀秀、向日葵等各類常用軟體，通過搜尋引擎等渠道進行釣魚傳播，通過控制這些正規軟體，銀狐木馬可以獲取更高的系統許可權，進而監控用戶的操作、竊取信息，並有可能進一步入侵微信等應用程式，獲取用戶在微信中的賬號密碼、聊天記錄等敏感信息。
冒充身份
銀狐木馬黑客會通過各種手段獲取用戶的微信好友信息，然後冒充用戶的領導、同事、客戶等身份，向其傳送包含木馬的檔案或連結。由於是熟悉的人傳送的訊息，用戶往往更容易放鬆警惕，從而點擊下載，導致木馬入侵。
製造緊迫感
銀狐木馬攻擊者還會利用一些緊急事件或熱點話題來製造緊迫感，誘使用戶儘快點擊連結或下載檔案。例如，傳送虛假的公司緊急通知、限時優惠活動等信息，讓用戶在沒有充分思考的情況下就採取行動，增加了感染木馬的風險 。
利用系統或軟體漏洞
遠程代碼執行
通過漏洞，銀狐木馬可以在用戶的設備上執行惡意代碼，實現對設備的控制和信息竊取。例如，利用瀏覽器漏洞、外掛程式漏洞等，在用戶訪問特定網頁時自動下載和運行木馬程式，進而入侵微信。
郵件傳播
銀狐木馬通過郵件進行魚叉式釣魚攻擊，引導受害者點擊頁面，隨後頁面自動跳轉下載傳播，通過控制社交賬戶或信箱，再模擬受害者行為在公司內傳播木馬，以尋找高價值受害者。
病毒感染特徵
釣魚信息特徵
銀狐釣魚信息可能通過微信群、QQ群等社交媒體或電子郵件傳送，信息通常為犯罪分子偽造的官方通知，主題通常涉及財稅或金融管理等公共管理部門發布的最新政策和工作通知等，並附所謂的對接相關工作所需專用程式的下載連結。
檔案特徵
- 檔案名稱
犯罪分子通常會將木馬病毒程式的檔案名稱設定為與財稅、金融管理部門相關工作具有顯著關聯，且對相關崗位工作人員具有較高辨識度的名稱，如：“金稅四期（電腦版）”、“金稅五期（電腦版）”等，並以此為誘餌欺騙企業中的財務管理人員或個體經營者。該木馬病毒程式的變種大多只針對安裝Windows作業系統的傳統PC環境，犯罪分子也會在檔案名稱中設定“電腦版”、“PC版”等關鍵字以誘導受害用戶在相應環境下安裝。
- 檔案格式
已知的銀狐木馬病毒常用檔案格式以MSI安裝包格式和ZIP、RAR等壓縮檔格式（內含MSI或EXE等可執行程式）為主。
- 檔案HASH
cf8088b59ee684cbd7d43edcc42b2eec，f3cad147e35f236772b5e10f4292ba6e。
- 系統駐留特徵
木馬病毒被安裝後，會在作業系統中註冊名為“UserDataSvc_[字母與數字隨機組合]”的系統服務，實現開機自啟動和持久駐留。
註冊系統服務實現系統持久駐留
- 網路通信特徵
回聯地址為：154.**.**.95 命令控制伺服器（C2），域名為：8848.*********.zip。其中與 C2 地址的通信內容中，會包含受害主機的作業系統信息、用戶名CPU信息、記憶體信息以及區域網路IP位址等數據。
危害
銀狐木馬可以獲取更高的系統許可權，可以監控用戶的操作、竊取信息，並獲取用戶在微信中的賬號密碼、聊天記錄等敏感信息。攻擊團伙會利用相關信息，通過偽裝領導、老闆等方式實施精準詐欺。
防範措施
國家計算機病毒應急處理中心提示廣大企事業單位，特別是從事電商業務的中小微企業以及個體經營者和個人網路用戶，臨近年末，各類財稅和金融業務繁忙，從事相關業務的工作人員務必提高警惕，防範以計算機病毒為作案工具的電信網路詐欺活動。
提高警惕
安全下載
在官方網站下載日常使用的工具和軟體，避免從不明來源下載，以防安裝惡意軟體。不要輕信微信群、QQ群或其他社交媒體軟體中傳播的所謂政府主管部門或金融機構發布的通知，應通過官方渠道進行核實；不要從微信群、QQ群或其他社交媒體軟體的聊天群組中傳播的網路連結（或二維碼）下載所謂的官方程式。
安全檢查
一旦發現微信、QQ或其他社交媒體軟體發生被盜現象，應向親友和所在單位及同事告知相關情況，並通過相對安全的設備和網路環境修改登錄密碼，並對自己常用的計算機和移動通信設備進行防毒和安全檢查，如反覆出現賬號被盜情況，應在備份重要數據的前提下考慮重新安裝作業系統和安全軟體並更新到最新版本。
防病毒軟體
利用威脅情報追溯威脅行為軌跡，進行威脅行為分析，定位威脅源和目的，追溯攻擊的手段和路徑，從源頭解決網路威脅，最大範圍內發現被攻擊的節點，以便更快回響和處理。
加強防護
電腦要安裝防毒軟體並及時更新，攔截查殺惡意文檔和惡意程式；重新安裝作業系統；發現電腦有異常情況應及時與專業人員聯繫；企業要做好風險排查和防範宣傳，如果用戶不小心下載了惡意檔案，防毒軟體可攔截查殺，阻止病毒運行，保護用戶的終端安全。
守好資金
如遇到網路轉賬請求，切莫輕信；遇到領導轉賬要求時，應當面核實；查閱稅務、財經相關資料應訪問官方網址，特別是涉及轉賬匯款等經濟事務時，一定要慎重進行核實和確認。如果無法當面確認，也應當主動通過電話聯繫確認，最好不要通過網路通信工具，因為已經有事實證明網路通信工具中的語音或視頻，都可能被騙子偽造。
