聊聊银狐木马：为什么有时候电脑看起来没事，其实已经出问题了

正义羊

这段时间在看一些安全事件时，银狐这个名字出现得比较频繁。以前很多人理解木马，可能就是电脑突然变卡、桌面弹一堆窗口，或者杀毒软件直接跳出来说发现病毒。但银狐这一类攻击给我的感觉不太一样，它更像是把自己藏在一个正常的业务场景里面，先想办法让你相信这个文件是真的，等你自己把它打开以后，再慢慢做后面的事情。

所以我觉得，理解银狐不能只盯着这个病毒文件叫什么名字，更应该看看它到底是怎么进电脑的，以及进来以后做了什么。

比较典型的场景其实并不复杂。比如员工突然收到一份文件，对方说是合同、通知、社保材料、招聘资料或者某个业务需要的附件。文件名看起来也没有特别离谱，甚至可能还配了一段非常正常的说明。人在正常工作的时候，很容易下意识地认为这是业务文件，然后下载、解压、双击。真正的攻击往往就是从这一刻开始的。

这也是这类木马比较麻烦的地方。攻击者不一定非要先找到一个特别高级的漏洞，有时候只需要把诱饵做得足够像真的就行了。用户一旦主动执行了程序，后面的事情就不完全需要用户参与了。

从攻击链路来看，可以简单理解成这么几个阶段：先想办法接触到目标，再诱导目标下载文件，然后让用户执行一个初始程序，接着由这个程序加载或者下载真正的恶意组件，最后建立控制、收集信息，甚至继续往企业内部扩散。

这里面有个很值得注意的地方，就是最开始让你运行的那个文件，未必就是最终的主木马。有些攻击会把功能拆成多个阶段。第一阶段可能只是负责启动后续程序，或者连接攻击者控制的服务器获取下一阶段文件。这样做的好处很明显，即使安全人员拿到了最开始的文件，也不一定能够从里面直接看到完整的恶意功能。

这也是为什么现在分析木马，越来越不能只看一个文件。假设某台电脑被发现有一个奇怪的exe文件，真正应该继续追的是：它是谁启动的？启动以后创建了哪些进程？访问了什么目录？有没有修改启动项？有没有连接外部地址？有没有继续下载其他东西？

如果只是把那个exe删除，然后告诉用户已经处理好了，其实很可能还没查完。

银狐类木马在终端上可能做的事情比较多，具体能力会随着样本和攻击活动变化。有些主要收集系统信息，有些重点针对浏览器和账号数据，还有一些具备远程控制或者继续下载其他恶意程序的能力。对于企业来说，最麻烦的情况是攻击者拿到的不只是某台电脑上的几个文件，而是进一步获得了账号或者凭据，然后利用这些东西寻找其他目标。

所以企业安全人员看到一台机器异常时，不能只问这台电脑中没中毒，还应该问这台电脑是不是攻击链里面的一环。

举个比较现实的情况，一个员工电脑出现异常联网，安全软件也提示过可疑程序。很多人的第一反应可能是把程序结束掉，然后跑一次杀毒。如果扫描结果显示没有威胁，就觉得问题解决了。

但实际上，安全人员更应该关注的是异常发生之前和之后的行为。比如这个程序是谁启动的？它前面有没有打开一个压缩包？有没有运行过脚本？它有没有访问浏览器数据目录？有没有突然连接一个平时完全不会访问的外部地址？同一时间有没有其他员工电脑出现类似现象？

这些信息串起来以后，才能大概判断攻击者到底走到了哪一步。

从普通用户的角度来说，感染以后也不一定有什么特别明显的中毒症状。电脑可能照样能办公，浏览器照样能打开，甚至性能也没有明显变化。有时候唯一的异常，就是电脑在空闲的时候网络流量比较奇怪，或者任务管理器里突然出现一个自己没见过的程序。

也有人会发现浏览器设置被改了，电脑多了一个不认识的软件，开机以后自动运行某个程序，或者偶尔出现一些莫名其妙的弹窗。当然，这些现象不能直接等同于感染银狐，因为很多正常软件也可能产生类似行为。但是如果这些事情恰好发生在打开陌生文件之后，就值得提高警惕。

我个人觉得，普通用户防这类攻击，最有效的一招其实不是记住银狐这个名字，而是改变一个习惯，不要因为文件名看起来正常，就默认它安全。

尤其是一些带有强烈催促意味的内容，比如请立即处理、逾期无法办理、重要通知、账号即将失效之类的文字，本身就是需要提高警惕的信号。真正涉及社保、税务、银行、快递或者其他重要业务时，最好自己打开官方网站或者官方软件查询，而不是直接按照别人发过来的链接和文件操作。

还有一点容易被忽略，压缩包不等于安全文件。很多人看到ZIP、RAR就觉得只是一个普通资料包，实际上攻击者完全可以把恶意程序放进去。尤其是文件解压以后，如果里面出现一个自己根本不认识的程序文件，就不要因为它旁边放着一个说明或者通知文档，就觉得它可信。

企业环境下就不能只靠员工自己小心了。

比较基础的一点，是尽量不要让普通办公账号长期拥有本地管理员权限。员工如果平时只是处理文档、邮件和网页，没有必要什么程序都可以用管理员权限运行。权限越大，攻击成功以后能够做的事情通常也越多。

另外，企业最好把终端安全、网络监控和身份安全结合起来看。单独看一个终端可能只是发现一个可疑程序，但是把终端日志、DNS、登录日志放在一起，有时候就能发现一条完整的攻击链。

比如某个员工先访问了一个异常网站，随后下载文件，几分钟后电脑出现陌生进程，然后这个账号又从异常位置登录企业系统。如果这些信息能够关联起来，安全人员判断事件性质就会容易很多。

真遇到疑似感染，我认为最容易犯的错误就是看到病毒以后立刻全部删除。

如果只是个人电脑，确实可以根据实际情况进行查杀、卸载可疑程序，必要时重装系统。但企业环境最好别一上来就格式化。因为木马文件、进程信息、日志、网络连接记录，都是调查攻击过程的重要线索。如果什么都删干净了，后面反而很难回答攻击者到底做了什么。

比较稳妥的思路应该是先控制影响范围，再保留必要证据，然后调查和清理。比如发现某台电脑持续存在异常连接，可以先按照企业应急流程进行网络隔离，防止它继续和外部服务器通信。如果涉及重要账号，还应该尽快处理账号风险，包括修改密码、检查异常登录和必要时撤销相关会话。

如果确认电脑已经被攻击者控制，也不要只处理这一台机器。应该看看同一时间有没有其他电脑出现相同文件、相同进程或者类似网络连接。因为攻击者如果已经在企业环境里待了一段时间，那么一台电脑中毒有可能只是目前最先被发现的那一台。

说到底，银狐这类木马让我比较关注的，并不是它某一个具体技术细节，而是现在很多攻击越来越像正常业务。

以前大家想到木马，可能会想到一个很明显的病毒文件。现在攻击者会想办法把攻击过程包装成你本来就应该做的事情：打开合同、查看通知、安装升级程序、下载资料、登录某个系统。用户完成这些动作的时候，甚至不会觉得自己正在遭受攻击。

所以安全防护真正难的地方，其实不是把所有恶意软件名字背下来，而是让整个攻击链尽可能在前面就断掉。

个人用户可以从来源、文件和权限三个方面多留一个心眼。企业则需要把终端防护、网络监控、账号安全和应急响应结合起来。尤其是企业安全团队，发现一次木马以后不要满足于病毒已经杀掉了，而应该继续往下查，它从哪里来的、执行过什么、连接过什么、有没有偷东西、有没有留下持久化、有没有影响其他机器。

如果这些问题都能回答清楚，才算真正把一次安全事件处理完整。

最后还是想强调一句，面对银狐或者其他木马，没有什么绝对有效的神奇工具。安全软件很重要，但它解决不了所有问题。员工安全意识很重要，但也不能要求每个人都变成安全专家。真正靠谱的做法还是多层防护，让攻击者即使骗过了一个人，也很难顺利走完整条攻击链。

对于普通人来说，遇到一个来路不明、又特别着急让你打开的文件时，先停十秒钟确认一下来源，很多时候可能比事后折腾几个小时重装电脑更有用。