“违纪人员名单.zip”？南阳有人中招！快杀毒！

近期，一种名为“银狐木马”（Silver Fox Trojan）的新型木马病毒正在多个网络平台悄然扩散。

该病毒主要面向医院、高校、企业、政府、及事业单位等行业，已经有不少用户“中招”，造成社交账号失控、银行卡被盗刷、网银账户被洗劫等严重后果。“银狐”是什么？日常如何防范应对？这份指南请查收！

Q

“银狐”木马病毒是什么？有哪些特征？

A

银狐（又名：“游蛇”“谷堕大盗”等）是近年来国内最为流行的一款“远控与电诈”类木马。通过微信、QQ、邮件以及伪造工具网站等渠道进行钓鱼攻击，主要面向政府、高校及企事业单位等。

该木马病毒程序的变种大多只针对安装Windows操作系统的传统PC环境，攻击团伙通过投递远控木马，获得受害者的计算机控制权限，在系统内长期驻留，监控用户日常操作，窃取敏感信息或数据，利用受害者的微信、QQ等即时通信软件来发送具有针对性的钓鱼、欺诈类信息，实施钓鱼攻击和诈骗等违法行为，实现病毒的进一步传播。

Q

“银狐”木马在企业内有哪些典型传播方式？

A

1.定向钓鱼邮件

邮件伪装：通过伪装成看似合法的发件人身份发送含有恶意附件或链接的邮件。如“违纪人员名单信息”为诱饵的病毒文件（附件通常以7z、rar、zip等常见压缩包格式出现），诱导员工点击下载，从而控制员工终端，建立群聊；以“夏季防暑降温费”为诱饵的钓鱼链接，诱导群内员工点击恶意链接填写银行卡号等个人信息，造成员工信息泄露和财产损失。

宏代码攻击：如果附件是Office文件，则常常嵌入有恶意宏代码。一旦启用宏功能，这些恶意脚本就会被执行，进而下载和安装木马程序。

2.伪造应用下载网页并推广

假冒合法应用：创建高仿的应用下载页面，伪装为热门工具、游戏或办公软件，诱骗受害者下载含有木马的应用程序。

搜索引擎广告投放：通过购买广告位或优化搜索引擎排名，使伪造页面出现在搜索结果前列，提高受害者下载恶意程序的概率。

3.网页挂马

水坑攻击：在政企人员频繁访问的网站或论坛中植入恶意代码，受害者一旦访问，浏览器会自动下载并执行木马程序。

广告劫持：利用恶意广告注入技术，在正常网页的广告弹窗分发木马。

4.社交信息

键盘和鼠标劫持：通过木马获取受害者设备的控制权限，利用受害者的社交软件（如微信、企业微信、QQ）向其联系人群发恶意链接或文件，达到木马传播的目的。

信任链攻击：伪装为受害者本人发送的消息，增强恶意链接的可信度，从而扩散木马传播。

5.供应链

软件更新劫持：通过入侵第三方软件库，篡改其中的更新包或安装包，将木马伪装为合法软件的部分功能，借助供应链传播至受害者系统。

外包或合作渠道渗透：利用受感染的外包服务商或合作伙伴的程序或系统，以共享文件或系统集成为媒介传播木马。

Q

“银狐”木马传播原因分析

A

①安全意识不足

员工缺乏安全与反诈意识，随意在互联网上下载应用软件；随意点击可疑文件和链接，未经验证直接填写个人银行卡号、卡内余额、交易密码等敏感信息。

②通信软件策略缺陷

软件端暂未实现对建群频次限制，被攻击团伙利用，短时间内大范围建群；建群后立即禁言、投毒并退群，防止群成员互相提醒，退群后删除本地聊天记录与缓存，逃避分析追踪；异常群聊缺乏后台统一管控与处置手段，出现异常建群后，尚无法通过后台撤回消息、解散群聊，特别是群主变更后的群解散工作较为困难（当前采取先定位群内成员信息，再联系群内成员找到群主，由群主撤回消息解散群聊）。

③技术防护薄弱

部分子企业无终端防护软件；杀毒软件不能及时发现新型病毒，病毒文件在终端上能够正常执行，终端未对可执行文件实施有效的执行权限控制；互联网安全防护的覆盖范围有限，未能全面保护所有下属单位。对于已纳入收口范围的单位，能够在发现IOC后第一时间完成全网封禁与拦截，但对于尚未纳入收口的单位，仍存在无法在第一时间获得防护的情况。

Q

日常如何防范？

A

①全流程安全技术防范措施——“技防”

终端防护：企业统一部署安装新一代终端防护软件或杀毒软件，确保防护无死角，并采用集中管理策略，保证病毒库与特征库实时更新，做到受控终端断网隔离；全盘查杀，保留终端样本；病毒样本分析，全网封禁并预警；被控终端异常横向排查。

②日常安全意识防范——“人防”

不轻信：对各种社交平台上的“补贴”“通知”等敏感主题文件或链接不轻信；

不点击：拒绝打开来源不明的链接、二维码、压缩包等；

不下载：避免安装非官方途径的软件；

勤关机：离岗必关机；

勤杀毒：保持定期更新病毒库、扫描杀毒。

③感染应急处理流程

一旦发现电脑操作系统的安全功能和防病毒软件在非自主操作情况下被异常关闭，微信、QQ或其他社交媒体软件被盗等现象，应向亲友和所在单位同事和负责人告知相关情况，并通过相对安全的设备和网络环境修改登录密码、对自己常用的计算机和移动通信设备进行杀毒和安全检查。如反复出现账号被盗情况，应在备份重要数据的前提下，考虑重新安装操作系统和防病毒软件并更新到最新版本。

来源：中建六局四建公司微信公众号

长按识别加南阳家长群：