瑞星揭秘“銀狐木馬”雙線攻擊方式

“尊 敬 的 客 戶 ， 您 的 發 票 已 生 成， 點 擊 下 載 作 為 報 銷 憑 證 … …” 這 樣 一 封 看 似 普 通 的 銀 行電 子 發 票 通 知 郵 件 ， 卻 可能 是 黑 客 撬 開 你 電 腦大 門 的 鑰 匙 。

近 日， 瑞 星 威 脅 情 報平 臺 捕 獲 到 “ 銀 狐 木 馬 ”新 一 輪 的 攻 擊 ，他 們 通 過 偽 造 發 票 郵件 和 聊 天 文 件 ，借 助 合 法 軟 件 的外 衣 大 肆 竊 密 ，金 融 機 構 和 普 通 用戶 都 已 成 為 目 標 。

攻 擊事 件 一 ：釣 魚 郵 件 借 “ 白 加 黑 ” ” 技 術 劫 持 系統

瑞 星安 全 專 家 深 入 追 蹤 發 現 ， “銀 狐 木 馬 ” 團 伙 針 對國 內 某 銀 行 發 動 精密 釣 魚 攻 擊 ， 以 發 票通 知 作 為 誘 餌 ， 向 銀 行員 工 郵 箱 發 送 釣 魚 郵件 ， 郵 件 域 名 偽裝 成 正 規 機 構 ， 內 嵌“ 百 度 ” 樣 式 鏈 接 ，極 具 迷 惑 性 。一 旦 點 擊 ， 便 會跳 轉 到 高 仿 的驗 證 頁 面 ， 誘導 用 戶 下 載 名 為 “ 票 單 .z i p ” 的 壓 縮 包 。

瑞 星 安全 專 家 介 紹 ， 該 壓 縮包 內 含 有 經 德 國 安 博 士 （ A v i r a ） 合 法 簽 名 的程 序 ， 卻 暗 藏 D L L 惡 意程 序 。 “ 銀 狐木 馬 ” 正 是 通 過 這種 “ 白 加 黑 ” 的方 式 繞 過 安 全 軟件 檢 測 ， 偷 偷 獲 取 管理 員 權 限 ， 并 下 載 其 核 心模 塊 。

攻 擊 事件 二 ： 聊 天 文件 用 “ 硬 件 綁 定 ” 加 密術

除 了 釣 魚郵 件 ， “ 銀 狐 木 馬” 的 另 一 分 支 通過 聊 天 軟 件 傳 播 名 為 " 明 細查 詢 . z i p " 的 壓 縮包 。 解 壓 后 可 以 看 到 大 家 熟 悉 的“ 微 軟 電 腦 管 家 ”程 序 ， 但 這 實 則 是黑 客 篡 改 后 的 “ 毒 匣 子 ” ，該 程 序 附 帶 的 配 置文 件 已 被 修 改 ， 會 主 動加 載 “ m $ R E C YC L E . B I N ”目 錄 下 的 惡意 程 序 。

瑞 星 安 全專 家 介 紹 ， 惡 意程 序 會 讀 取 電腦 硬 盤 序 列 號 和 主 板 信 息， 生 成 一 個 3 2 字 節 的 獨 特 密 鑰 ， 這 種 機 制 使 得 惡 意 代 碼 只 在 目 標 設 備上 被 激 活 ， 讓安 全 人 員 分 析難 度 變 大 。 并 且 ， 木馬 還 會 將 自 身 拆 分 成 多 個 . d at 文 件 ， 平 時以 碎 片 形 式 隱藏 在 系 統 深 處 ， 僅在 執 行 時 通 過 c md 命 令 動 態 拼 接 ，這 種 “ 碎 片 攻擊 ” 讓 傳 統 殺 毒 軟 件 難 以 識別 。

瑞 星警 示 ： 銀 狐 木 馬持 續 活 躍 ， 且 危 害 巨 大

瑞 星 安 全專 家 介 紹 ， 銀 狐 木 馬 （ 又 名 毒 鼠 、 谷 墮 、 游 蛇 ） ， 是 近 年來 國 內 非常 流 行 的 一 個遠 控 木 馬 。 自 2 0 22 年 9 月 起 開始 活 躍 ， 主要 針 對企 事 業 單 位 管 理 人員 、 財 務 人 員 、 銷 售人 員 及 電 商 賣 家 進行 釣 魚 攻 擊 。 攻擊 團 伙 通 過 投遞 遠 控 木 馬 ， 獲 得 受害 者 的 計 算機 控 制 權 限 ， 在 系 統內 長 期 駐 留 ， 監控 用 戶 日 常 操作 ， 竊 取 敏 感 信 息 ， 利用 受 害 者 的 即 時 通 信 軟 件來 發 送 具 有 針對 性 的 釣 魚 、 欺 詐 類 信息 ， 實 施 釣 魚 攻 擊 和 詐 騙 等違 法 行 為 。

正 是 這 種深 度 潛 伏 與 全 面 操 控 的特 性 ， 讓 銀 狐 木 馬 極 具 威 脅 性 ：

l偽 裝隱 藏 ： 把 自 己 注 入 到系 統 進 程 中 ， 避 免 被 任 務 管 理 器 發 現；

l數 據 竊 密： 實 時 記 錄 鍵 盤 輸 入 、 截 取 屏幕 畫 面 ， 甚 至 能 遠 程 查 看 聊 天記 錄 ；

l毀 尸 滅跡 ： 清 理 系 統 日 志 、 關 閉 殺毒 軟 件 防 護 ， 讓 黑 客 操 作 不 留 痕 跡 。

更 可 怕的 是 ， 木 馬 會 隨 時 接 收 黑客 指 令 ， 可 執 行 關 機 、 刪 除 文 件 、 下 載 新 病毒 等 操 作。

瑞 星 四 步防 護 建 議：

由 于 近期 “ 銀 狐 木 馬 ” 頻 繁 活動 ， 借 助 帶 有 合 法 數 字 簽 名 的 文 件 作 為 掩 護 ，對 用 戶 的 迷 惑 性 極 強 ，因 此 瑞 星 安 全 專 家建 議 廣 大 用 戶：

1. 不打開可疑文件。

不打開未知來源的可疑的文件和郵件，防止社會工程學和釣魚攻擊。

2. 部署EDR、NDR產品。

利用威脅情報追溯威脅行為軌跡，進行威脅行為分析，定位威脅源和目的，追溯攻擊的手段和路徑，從源頭解決網絡威脅，最大范圍內發現被攻擊的節點，以便更快響應和處理。

3. 安裝有效的殺毒軟件，攔截查殺惡意文檔和惡意程序。

殺毒軟件可攔截惡意文檔和惡意程序，如果用戶不小心下載了惡意文件，殺毒軟件可攔截查殺，阻止病毒運行，保護用戶的終端安全。

4. 及時修補系統補丁和重要軟件的補丁。

許多惡意軟件經常使用已知的系統漏洞、軟件漏洞來進行傳播，及時安裝補丁將有效減少漏洞攻擊帶來的影響。