小心工作群里莫名其妙双重后缀的文件！

AEht

最近听两个朋友说的事，都是银狐木马。

一个在国企做财务，上个月收到邮件，说是税务检查通知，附件PDF。看着正常，Adobe图标，.pdf结尾。双击打开，电脑没啥动静。当天下午杀软图标灰了，防护被关了，也没在意。后来转账，复制收款账号，粘贴出来是另一个账号。吓出一身汗。最后查出来，那个文件是“通知.pdf.exe”，扩展名被Windows藏了，图标伪造的。钱没转出去，万兴.

另一个在机关的朋友说，他们微信群里有人发压缩包，说“年度考核材料”，还加密码，密码写在群公告里。解压出来是个文件夹图标，有人点了，电脑变卡，过几天浏览器多了一堆插件，后台有进程一直外连。他说机关人就这习贯，群里发的，文件名带“通知”“考核”，基本不多想。还有做成红头文件的，文号落款公章都有，跟真的一样。

技术我不算特懂,查了资料加上听来的，大概这样：载体就几种——假PDF套exe、压缩包里快捷方式（双击调PowerShell或mshta）、CHM、带宏Office文档。很多用正常签名程序加载恶意DLL，白加黑，还有DLL侧加载、进程镂空，恶意代码直接进内存不落盘，杀毒扫不到。

跑起来后第一件事关Defender、加排除目录、结束杀软进程。很多人过了好几天才发现杀软没了。PowerShell全混淆，Base64套娃字符串拼接反射加载.NET，静态根本看不出。持久化就计划任务、Run键、服务、启动目录，名字起得贼正常。C2走HTTPS或WebSocket挂CDN后面，防火墙不好拦。

中了的表现：杀软被关、任务管理器有陌生进程、正常软件目录多出没签名DLL、计划任务有随机名任务、异常外联、账号异地登录。现在变种挺安静，得看EDR日志。

我们能做的：扩展名显示打开，别看到.pdf就点，不明附件不碰，杀软云查杀开着，重要账号两步验证。单位就邮件网关沙箱、财务最小权限、转账双人复核电话确认、终端上EDR、IM文件也查、定期钓鱼演练。

真中了先断网，证据留好，查持久化点，清干净账号密码全重置，C2域名IP封掉，复盘入口补规则。不然下次换个皮还是坑。

反正我把扩展名显示打开了。大家有遇过类似的吗？