警惕！“银狐”木马病毒再次出现新变种并更新传播手法

小字号

中新网12月20日电 据国家计算机病毒应急处理中心网站消息，国家计算机病毒应急处理中心发布《关于针对我国用户的“银狐”木马病毒再次出现新变种并更新传播手法的预警报告》。

一、相关病毒传播案例

近日，国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室依托国家计算机病毒协同分析平台(https://virus.cverc.org.cn)在我国境内再次捕获发现针对我国用户的“银狐”木马病毒的最新变种。在本次传播过程中，攻击者继续通过构造财务、税务违规稽查通知等主题的钓鱼信息和收藏链接，通过微信群直接传播包含该木马病毒的加密压缩包文件，如图1所示。

图1 钓鱼信息及压缩包文件。图源：国家计算机病毒应急处理中心网站

图1中名为“笔记”等字样的收藏链接指向文件名为“违规-记录(1).rar”等压缩包文件，用户按照钓鱼信息给出的解压密码解压压缩包文件后，会看到以“开票-目录.exe”、“违规-告示.exe”等命名的可执行程序文件，这些可执行程序实际为“银狐”远控木马家族于12月更新传播的最新变种程序。如果用户运行相关恶意程序文件，将被攻击者实施远程控制、窃密等恶意操作，并可能被犯罪分子利用充当进一步实施电信网络诈骗活动的“跳板”。

二、病毒感染特征

1. 钓鱼信息特征

本次发现攻击者使用的钓鱼信息仍然以伪造官方通知为主。结合年末特点，攻击者刻意强调“12月”、“稽查”、“违规”等关键词，借此使潜在受害者增加紧迫感从而放松警惕。在钓鱼信息之后，攻击者继续发送附带所谓的相关工作文件的钓鱼链接。

2. 文件特征

1)文件名

对于本次发现的新一批变种，犯罪分子继续将木马病毒程序的文件名设置为与财税、金融管理等相关工作具有密切联系的名称，以引诱相关岗位工作人员点击下载运行，如：“开票-目录”、“违规-记录”、“违规-告示”等。此次发现的新变种仍然只针对安装Windows操作系统的传统PC环境，犯罪分子也会在钓鱼信息中使用“请使用电脑版”等话术进行有针对性的诱导提示。

2)文件格式

本次发现的新变种以RAR、ZIP等压缩格式(内含EXE可执行程序)为主，与之前变种不同的是，此次攻击者为压缩包设置了解压密码，并在钓鱼信息中进行提示告知，以逃避社交媒体软件和部分安全软件的检测，使其具有更强的传播能力。

3)文件HASH

34101194d27df8bc823e339d590e18f2

网络安全管理员可通过国家计算机病毒协同分析平台(https://virus.cverc.org.cn)获得相关病毒样本的详细信息，如下：

https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=34101194d27df8bc823e339d590e18f2

3.进程特征

木马病毒被安装运行后，会在操作系统中创建新进程，进程名与文件名相同，并从回联服务器下载其他恶意代码直接在内存中加载执行。

4.网络通信特征

回联地址为：156.***.***.90，端口号为：1217

命令控制服务器(C2)域名为：mm7ja.*****. cn，端口号为：6666

网络安全管理员可根据上述特征配置防火墙策略，对异常通信行为进行拦截。其中与C2地址的通信过程中，攻击者会收集受害主机的操作系统信息、网络配置信息、USB设备信息、屏幕截图、键盘记录、剪切板内容等敏感数据。

5.其他特征

本次发现的新变种还具有主动攻击安全软件的功能，试图通过模拟用户鼠标键盘操作关闭防病毒软件。

三、防范措施