【重制版】关于银狐病毒的科普

SYSTEM

我在游览了国家和各安全中心平台的关于银狐木马病毒的报道、文档、文章后，得出以下结论。觉得有用不妨~~给个3连~~，啊不对，给点L币！

观前需知：以下内容仅代表个人见解，仅为个人观点，请勿过分解读！其中资料均为个人整理所出，未使用不规范AI及其生成内容！如有不同见解，请在评论区指出，感谢您的高见！本人也是电脑小白，欢迎指教，请不要动怒或生气，根据医学研究表明，那样会伤害到您自己。

正文：

银狐木马病毒是近期出现的一种新型钓鱼类木马病毒。又名“游蛇”或“谷堕大盗”等，该名称因为被广泛使用，现已不再指代某一特定家族木马，而是逐渐变为对一类木马程序的通称。其主要是依托钓鱼攻击进行传播的一类远程控制类木马，攻击目标以政企单位用户为主。

目前，银狐木马已成为国内最为活跃的木马家族。根据360安全智能体监测分析发现，该木马家族背后的制作及免杀团伙有超过20个，并且还不断有新的木马团伙加入。过去一年，对国内政企单位发起了数万起攻击，给企业正常经营与生产安全造成了极大的影响。银狐团伙的黑色产业链广泛渗透至金融、诈骗、政府机构及多个行业领域。从2021年直至2024年12月，“银狐”木马活动显著增多，且始终保持相当高的活跃度。起初，“银狐”组织将目标锁定在企业与机构中的关键岗位人员，如管理层、财务部门、销售团队以及电子商务从业者，通过定向钓鱼攻击获取敏感信息。随着时间的推移，银狐病毒高效的攻击模式与成功的示范效应逐渐引起其他网络犯罪分子的关注，他们开始模仿其攻击手段并进行传播，导致全球范围内类似攻击事件频发。不同于传统钓鱼木马攻击，“银狐”木马采用更为隐蔽的多级白进程劫持技术进行搭载。如今，不仅企业和机构深受其害，普通网民也面临着日益严峻的安全威胁。

火绒终端威胁情报系统的监测数据显示，“银狐”团伙在过去一年多，始终保持高度活跃，每月攻击频率呈现增高趋势，受害设备数量以每月数万台计。尤其是在2023年底，其攻击事件显著增长，这一攻击趋势在2024年仍在延续，且其影响范围也在不断扩大。

Image description

火绒通过对近期发现的“银狐”木马进行分析，得知其主要采用Win0s作为后门模块，以实现对用户电脑活动的监控。通过网上泄露的源代码可以看到，这类后门已具备键盘记录、查看屏幕（高速屏幕、娱乐屏幕、后台屏幕）、摄像头查看、文件管理、语音监听、远程终端执行、系统管理、驱动插件、注册表管理、压力测试等功能。

Image description

IP-Guard等行为管理软件本身是用于企业内部管理的工具，具备记录电脑日常操作的功能。而“银狐”组织利用这类软件，能够获取用户电脑的更多权限，从而记录用户电脑的日常操作，包括浏览网站、社交通信消息记录、文件外发跟踪、电子邮件劫持、智能截图、文件操作、打印机日志、剪贴板记录、屏幕录像等。因此，一旦“银狐”组织成功取得用户电脑的控制权，便会通过类似软件对木马进行更深层次的传播。

这种手法结合了高度针对性的社会工程学攻击，不仅能实现恶意木马的快速传播，还会导致受害者损失惨重。

一、木马传播方式
“银狐”木马在传播过程中展现出高度的社工性和灵活性，以下是其主要传播途径：
1.定向政企财务钓鱼邮件

**邮件伪装：**通过伪装成看似合法的发件人身份（如供应商、合作伙伴或客户）发送含有恶意附件或链接的邮件。这些附件通常以PDF、Word、Excel等常见文档格式出现，并会利用社会工程手段诱使受害者将其打开。
**宏代码攻击：**如果附件是Office文件，则常常嵌入有恶意宏代码。一旦启用宏功能，这些恶意脚本就会被执行，进而下载和安装木马程序。

2.伪造应用下载网页并推广

**假冒合法应用：**创建高仿的应用下载页面，伪装为热门工具、游戏或办公软件，诱骗受害者下载含有木马的应用程序。
**搜索引擎广告投放：**通过购买广告位或优化搜索引擎排名，使伪造页面出现在搜索结果前列，从而提高受害者下载恶意程序的概率。

Image description

代码登录后可见

3.网页挂马

**水坑攻击：**在政企人员频繁访问的网站或论坛中植入恶意代码，受害者一旦访问，浏览器会自动下载并执行木马程序。
**广告劫持：**利用恶意广告注入技

术，在正常网页的广告弹窗分发木马。

4.色情信息诱导

**诱导下载：**利用伪装成色情视频、图片等资源的链接和附件，引诱受害者下载恶意文件。
**钓鱼网站：**搭建钓鱼网站并将其伪装成色情网站，受害者在访问或尝试下载内容时会被植入木马。

5.游戏资源传播

**盗版游戏私-Fu：**通过私-Fu游戏客户端或外{过}{滤}挂工具捆绑木马程序，吸引受害者下载。
**论坛分享：**在游戏论坛或社群中发布伪装成游戏补丁、福利资源的木马程序，诱导受害者下载。

6.常见web Nday漏洞

**已知漏洞攻击：**利用受害者使用的网站中常见的Nday漏洞（如Struts2、Log4j、WebLogic等）直接植入木马，入侵受害者系统。
**工具化攻击：**借助自动化漏洞扫描工具批量检测受害者系统，并在漏洞存在时植入恶意程序。

7.社交信息

**键盘和鼠标劫持：**通过木马获取受害者设备的控制权限，利用受害者的社交软件（如微信、企业微信、Telegram）向其联系人群发恶意链接或文件，达到木马传播的目的。
**信任链攻击：**伪装为受害者本人发送的消息，增强恶意链接的可信度，从而扩散木马传播。

8.供应链

**软件更新劫持：**通过入侵第三方软件库，篡改其中的更新包或安装包，将木马伪装为合法软件的部分功能，借助供应链传播至受害者系统。
**外包或合作渠道渗透：**利用受感染的外包服务商或合作伙伴的程序或系统，以共享文件或系统集成为媒介传播木马。

代码登录后可见

二、木马迭代
“银狐”木马的执行流程可分为以下三个阶段：

单文件加载器：释放白加黑文件
白加黑实现权限维持
执行后门模块

而木马在各个阶段的攻击手法，也随着时间的推移在不断演变。其中，加载器的种类日趋多样，从最初的.exe文件发展到如今的.chm、.bat、.vbs、.msi等格式。同时，在编程语言的运用上也越发多元，涵盖了C、C++、C#、Go等多种语言。这一演变使得“银狐”木马能够更加灵活地突破安全防御，增加了防范和检测的难度。

Image description

代码登录后可见

行为管理与监控软件的利用
1.IP-Guard
IP-Guard是某厂商开发的行为监控管理软件，具有实时监控与记录、远程控制、文件管理等功能，能够对用户终端的操作行为进行实时监控、审计以及管理，广泛应用于企业内部的安全管理。
通过溯源分析，“银狐”木马正在利用 IP-Guard 实现对受控主机进一步的权限维持。IP-Guard 生成的客户端通常带有数字签名，能被大部分杀毒软件默认信任，这为银狐的隐匿提供了更好的伪装。目前，火绒安全团队已联合 IP-Guard 官方展开针对性的打击行动，能够精准识别与查杀被滥用的 IP-Guard 版本，有效遏制银狐木马的传播和非法行为。

OK，以上是我从各大网站（360、火绒、国家计算机病毒处理中心）了解到的信息，内容繁多，这里只放一小部分，其余请移步到其官网查看。

Image description

代码登录后可见

大家都知道，前面的这些话都是偏技术人员看的，而普通的电脑小白或许没有头绪，那么请查阅下面我自己用人话总结的资料吧！

1.如何预防银狐病毒

根据以上信息，银狐病毒有以下几点传播方式：

定向政企财务钓鱼邮件（这个大家都在谈）
伪造应用下载网页并推广（这个非常著名！比如：Https://pp-WPS.com.cn）
网页挂马（应该也有）
色情信息诱导（这个。。。中的人比较少吧）
游戏资源传播（这个我差点中过，幸亏被火绒查出来了）
常见web Nday漏洞
社交信息（这个也很常见）
供应链（比如Github投毒事件）

严重警告：这里插入的链接网址是真实的银狐木马钓鱼网站！！！

电脑小白（特别是没有安装杀毒软件的）不要轻易点击！！！

这里你可以去下载https://sysbbs.cn/d/388这篇文章中的防银狐网址的游览器插件！

2.怎么排查

如果你之前访问过可疑网站，或者下载过可疑文件，那么请按如下步骤进行排查：
使用任务管理器查看电脑CPU和内存的使用率，若电脑在空闲状态下两项使用率均过高（大于50%），请检查你的进程列表，判断占用进程是什么。（低配置电脑除外）
如果占用进程是服务主机进程svchost.exe，没有其他进程占用，说明可疑进程是隐藏状态或劫持了系统进程，不要结束当前占用进程。
检查电脑自带的杀毒软件能否成功运行，如果杀毒软件无法打开，证明电脑中了银狐木马。
检查电脑能不能安装杀毒软件，若在安装时弹出错误，说明电脑可能中了银狐木马。
如果电脑加载了未知驱动，请检查注册表或sc有没有驱动加载。
以时间顺序查看系统目录，有没有与中毒时间相近的，进而进一步排查。

3.怎么修复

检查注册表，有没有驱动加载项或是异常的镜像劫持。
检查系统目录，重点检查WDAC策略、Tasks计划策略、sysWOW64、system32中的文件
如果在Task计划策略中发现同时带有用户登录后运行、使用最高权限、隐藏、启动随机文件名、启动的文件带有系统+隐藏属性，那么立刻删除该计划项，沿着启动程序目录排查，记得在查看中打开显示系统文件、显示隐藏文件。
如果在WDAC策略文件中发现有各大安全软件的名字，请删除此WDAC策略文件
如果发现Wow64log.dll被修改时间与中毒时间相吻合，请删除这个.dll文件

如果处理后杀毒软件可以正常打开，请使用杀软进行全盘扫描，清除异常项目，随后重启，再次扫描。2次后病毒基本已经消失。

若处理后还是无法正常打开杀毒软件，请运行360系统急救箱或火绒恶性木马专杀工具，若无法正常运行，点击安装目录中“打不开点我”的.bat脚本。（仅限360系统急救箱）打开后进行全盘扫描，清除异常项目。

若点击“打不开点我”及其他一样性质的.bat，360系统急救箱或火绒恶性木马专杀工具仍然无法打开，请进入PE并联系专业人员进行救援。（啊，对）

这里插播一下文档中提到的杀毒软件下载/官网地址：

杀毒软件官网地址：

火绒安全杀毒软件官网网址：https://www.huorong.cn/

360安全卫士杀毒软件官网网址：http://www.360.cn/

360系统急救箱软件官网网址：https://weishi.360.cn/jijiuxiang/index.html

火绒恶性木马专杀工具官网网址：https://bbs.huorong.cn/thread-18575-1-1.html

下载直链（这里仅供无法访问或其他原因下载，最新版请移步至官网下载！）：

火绒安全杀毒软件下载地址：https://down-tencent.huorong.cn/sysdiag-all-x64-6.0.11.1-2026.07.11.1.exe

360安全卫士杀毒软件下载地址：https://dl.360scdn.com/inst.exe

火绒恶性木马专杀工具下载地址：https://down7.huorong.cn/hrkill/hrkill-1.0.0.176.exe

360系统急救箱软件下载地址（包含x64和x32）：见 https://sysbbs.cn/d/371

360系统急救箱软件实在下载不到看我代码登录后可见*到的直链：*

代码登录后可见

4.总结

不要游览可疑网站，不要下载可疑文件，如果怀疑中银狐了就按第2章节排查，确实了就按第3章节排查。如果还是修不好快去求求大佬吧。

5.参考资料（都为个人整理，可供参考）：

https://www.cverc.org.cn/head/zhaiyao/news20260521-yhyj.htm

https://www.cverc.org.cn/

https://www.cert.org.cn/publish/main/10/2025/20250523153345048656711/20250523153345048656711_.html

https://www.huorong.cn/document/tech/vir_report/1800

http://weishi.360.cn/dnzs/12898.html

https://antiy.cn/research/notice&report/research_report/SwimSnake_Analysis_202508.html

https://rayblog.rising.com.cn/

https://mp.weixin.qq.com/s/1BLqqnLxsowJp79g_twVmQ

https://virus.cverc.org.cn/

（部分链接请在站内自行搜索银狐病毒！）

https://www.bilibili.com/video/BV18bTC6ZE5t/?spm_id_from=333.337.search-card.all.click

https://www.bilibili.com/video/BV1dH9JB7E1c/?spm_id_from=333.337.search-card.all.click

https://www.bilibili.com/video/BV1K7zNB9EkE/?spm_id_from=333.337.search-card.all.click&vd_source=4a89957172ec35a8a8eabf4587c9f526

https://www.bilibili.com/video/BV17fz7B5E3U/?share_source=copy_web&vd_source=ba7dc75f97c4d1914fc75ed56245bd47

最后感谢观看！

DeBugLog
|
DeBugLog:

[调试日志]:

2026.7.14 22:47 添加DeBugLog

2026.7.14 22:49 更新了插播中的杀毒软件官网网址，增加了火绒恶性木马专杀工具官网、直链

2026.7.14 22:50 结束调整

2026.7.14 23:02 将DeBugLog改为cloud格式

2026.7.14 23:03 更改了一下格式和cloud格式

2026.7.14 23:06 结束调整

2026.7.15 10:48 撤销了结尾详情中的付费彩蛋

2026.7.15 10:49 调整了DeBugLog格式

2026.7.15 10:50 结束调整

2026.7.17 23:03 添加TasksLog

2026.7.17 23:03 在TasksLog添加了两个计划项

2026.7.17 23:04 添加StatusLog

2026.7.17 23:05 添加状态项值于StatusLog

2026.7.17 23:07 结束调整

TasksLog:

隐藏

StatusLog:

Enable 启用

Disable 禁用

Pause 挂起

Run 正在运行

tedlijunyu

SYSTEM AAA雷霆

SYSTEM

成功填坑！

Colorful_Clay

SYSTEM 可以保存草稿（甚至可以定时发布）

SYSTEM

我们目前正在收集解决银狐病毒的办法，如果您对银狐病毒有经验，或自己亲身经历的修复经验，那么麻烦您在此贴下留言评论，感谢您的支持，让更多人可以抵御银狐木马病毒的入侵！

SYSTEM

Colorful_Clay ？？！！强强？？！！

Colorful_Clay

很多人中银狐都是因为下到了fakeapp，为了预防银狐建议阅读这篇文章

Deep_Format

还是老话，防范于未然，等到中毒了就麻烦了，病毒破坏的地方多的是，不止这一点

SYSTEM

Deep_Format

嗯，我能找到的就这些了。病毒可以破坏的地方非常多，不可能全部列出来，本文就列出来一些常见的，供给参考即可。