【计算机】国家计算机病毒应急处理中心 -银狐-木马病毒再次出现新变种并更新传播手法

　　12月20日，国家计算机病毒应急处理中心发布关于针对我国用户的“银狐”木马病毒再次出现新变种并更新流传手法的预警报告。

　　一、相关病毒流传案例

　　最近，国家计算机病毒应急处理中心和计算机 病毒防治 技术国家工程实验室依托国家计算机病毒协同分析平台（https://virus.cverc.org.cn）在我国境内再次捕获发现针对我国用户的“银狐”木马病毒的最新变种。在本次流传进程中，攻击者继续通过构造财务、税务违规稽查通知等主题的垂钓信息和收藏链接，通过微信群直接流传包含该木马病毒的加密压缩包文件，如图1所示。

　　图1 垂钓信息及压缩包文件

　　图1中名为“笔记”等字样的收藏链接指向文件名为“违规-记录（1）.rar”等压缩包文件，用户根据垂钓信息给出的解压密码解压压缩包文件后，会看到以“开票-目录.exe”、“违规-告示.exe”等命名的可执行程序文件，这些可执行程序实际为“银狐”远控木马家族于12月更新流传的最新变种程序。如果用户运行相关恶意程序文件，将被攻击者实施远程操控、窃密等恶意操作，并可能被犯罪分子利用充任进一步实施电信网络诈骗活动的“跳板”。

　　二、病毒感染特征

　　1. 垂钓信息特征

　　本次发现攻击者使用的垂钓信息仍然以伪造官方通知为主。结合年末特点，攻击者刻意强调“12月”、“稽查”、“违规”等关键词，借此使潜在受害者增加紧迫感从而放松警惕。在垂钓信息之后，攻击者继续发送附带所谓的相关工作文件的垂钓链接。

　　2. 文件特征

　　1）文件名

　　对于本次发现的新一批变种，犯罪分子继续将木马病毒程序的文件名设置为与财税、金融管理等相关工作具有密切关系的名称，以引诱相关岗位职员点击下载运行，如：“开票-目录”、“违规-记录”、“违规-告示”等。此次发现的新变种仍然只针对安置Windows操作全面的传统PC环境，犯罪分子也会在垂钓信息中使用“请使用电脑版”等话术进行有针对性的诱骗提示。

　　2）文件格式

　　本次发现的新变种以RAR、ZIP等压缩格式（内含EXE可执行程序）为主，与之前变种不一样的是，此次攻击者为压缩包设置了解压密码，并在垂钓信息中进行提示告知，以逃避社交媒体软件和部分安全软件的检测，使其具有更强的流传能力。

　　3）文件HASH

　　34101194d27df8bc823e339d590e18f2

　　 网络安全 管理员可通过国家计算机病毒协同分析平台（https://virus.cverc.org.cn）获得相关病毒样本的详细信息，如下：

　　https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=34101194d27df8bc823e339d590e18f2

　　3.进程特征

　　木马病毒被安置运行后，会在操作系统中建立新进程，进程名与文件名相同，并从回联服务器下载其它恶意代码直接在内存中加载执行。

　　4.网络通信特征

　　回联地址为：156.***.***.90，端口号为：1217

　　命令控制服务器（C2）域名为：mm7ja.*****. cn，端口号为：6666

　　 网络安全 管理员可根据上述特征配置防火墙策略，对异常通信行为进行拦截。其中与C2地址的通信进程中，攻击者会收集受害主机的操作系统信息、网络配置信息、USB设备信息、屏幕截图、键盘记录、剪切板内容等敏感数据。

　　5.其它特征

　　本次发现的新变种还具有主动攻击安全软件的功能，试图通过模拟用户鼠标键盘操作关闭防病毒软件。

　　三、防范措施

　　临近年末，国家计算机病毒应急处理中心再次提示广大企事业单位和个人网络用户提高针对各类电信网络诈骗活动的警惕性和防范意识，不要轻易被犯罪分子的垂钓话术所诱导。结合本次发现的银狐木马病毒新变种流传活动的相关特点，建议广大用户采取以下防范措施：

　　1.不要轻信微信群、QQ群或其它社交媒体软件中流传的所谓政府机关和公共管理机构发布的公告及相关工作文件和官方程序（或相应下载链接），应通过官方渠道进行核对。

　　2.带密码的加密压缩包其实不代表内容安全，针对类似此次流传的“银狐”木马病毒加密压缩包文件的新特点，用户可将解压后的可疑文件先行上传至国家计算机病毒协同分析平台（https://virus.cverc.org.cn）进行安全性检测，并保持防病毒软件实时监控功能开启，将电脑操作系统和防病毒软件更新到最新版本。

　　3.一旦发觉电脑操作全面的安全功能和防病毒软件在非自主操作情境下被异常关闭，应立即主动切断网络连接，对重要数据进行迁移和备份，并对相关设备进行停用直至通过系统重装或还原、完全的安全检测和安全加固后方可继续使用。

　　4.一旦发觉微信、QQ或其它社交媒体软件发生被偷现象，应向亲友和所在单位同事告知相关情况，并通过相对安全的设备和网络环境更改登录密码，对自己经常使用的计算机和移动通信设备进行杀毒和安全检查，如反复出现账号被偷情况，应在备份重要数据的条件下，考虑重新安置操作系统和防病毒软件并更新到最新版本。

　　本预警报告得到了北京神州 绿盟科技 有限公司、北京华安云科网络技术有限公司、南开大学网络空间安全学院、北京瑞星网安技术股份有限公司、安天科技集团股份有限公司、计算机 病毒防治 技术国家工程实验室和国家计算机病毒协同分析平台等各共建单位的技术和信息支持，特此致谢。