2026-11-02 14:55:35 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

“税务文件”里藏着远控木马：银狐新团伙“镜昙”控制5834台设备

原创

网际思安
网际思安

网际思安

2026年11月2日 08:00
北京

去阅读

2026年10月23日，国家互联网应急中心（CNCERT）与启明星辰联合发布报告，披露“银狐”木马的新团伙“镜昙（G02）”。它专挑金融财务、银行、税务岗位下手，以税务文件、对账单、采购订单为诱饵，2026年7月17日至10月20日累计控制设备5834台。

一、“税务文件”里的后门

“tax-documents”“Bank Statement”“Reconcile an account”“Statement of Outstanding Account”。这些文件名，放在财务人员的日常工作里再普通不过：报税材料、银行对账单、往来对账、逾期账款对账单。根据CNCERT与启明星辰10月23日发布的分析报告，正是这些看似平常的文件名，成了银狐新团伙“镜昙”的诱饵。

报告还原了一条完整的攻击路径。攻击者注册了多个以“tax”开头的仿冒域名，搭建名为“星河科技软件下载中心”的钓鱼网站，打出“安全、稳定、快速的软件分发中心”的口号，并通过SEO污染让仿冒站点排到搜索结果前列；同时，攻击者也会直接发送钓鱼链接或钓鱼跳转，引导目标访问。用户点击下载，拿到的是一个ZIP压缩包，解压后是IMG、ISO或VHD格式的镜像文件。

以报告分析的样本为例：一个9.98MB的IMG镜像里，装着一个合法程序和一个名为“xwEB\_eLF.dLl”的恶意DLL。用户双击合法程序，恶意DLL随之被加载，木马完成驻留，并连上攻击者的控制服务器。

▲ 诱饵文件的“套娃”结构示意（根据CNCERT报告绘制）

报告给出的数据是：2026年7月17日至10月20日，累计被控设备5834台；8月20日单日上线被控端252台，为峰值；C2服务器单日访问量峰值达727802次。截至报告的分析时间10月14日，部分钓鱼页面仍可访问下载。报告同时指出，经银狐专项打击，该团伙近期的控制规模已整体明显下降。

对多数企业而言，5834台并不是一个遥远的数字。每一台被控设备背后，都可能是一位手握付款权限、对账数据和客户信息的财务人员。

二、拆解“镜昙”的四处升级

“镜昙”这个代号取自它的两个特征：以镜像文件作为初始攻击载体；攻击时间可以定制，到期即停止作恶，如昙花一现。相较银狐此前的分支，它在技术上有四处明显升级。

第一，换了“外壳”。银狐以往多用MSI安装包，或NSIS、Inno Setup封装的EXE文件投递；镜昙改用IMG、ISO、VHD镜像。报告的判断很明确：利用镜像文件的特殊属性，规避主流静态检测手段。换言之，只盯着EXE等常见可执行格式的检测规则，面对“压缩包套镜像”时，可能根本看不到真正的载荷。

第二，借合法程序“白加黑”。镜像中的合法程序本身没有问题，问题在于它会加载同目录下的恶意DLL。木马运行后，会在系统公共目录下创建名为“NVTELEMETRY”的文件夹，把合法程序复制并改名为“NvTelemetryBridge64.exe”，再以管理员权限启动，借合法程序的外衣持续运行。远控模块还把插件数据写入注册表“HKCU\Console\0”或“HKCU\Console\1”，减少磁盘取证痕迹；核心DLL则经过VMProtect加壳，增加逆向难度。

第三，配置藏得更深。传统银狐只对配置信息做简单逆序后硬编码在样本中；镜昙改为“逆序—加密—逆序”三重处理，部分攻击还把配置与shellcode合并加密、单独存放在专属文件中。安全人员要提取C2地址等关键信息，难度明显上升。

第四，自带“保质期”。报告分析的样本，制作时间为2026年9月3日，失效时间为9月6日，有效期只有三天。超过期限，程序弹出提示框后直接退出，不再执行恶意行为；在有效期内，它会连接C2，下载银狐（winos）木马的“登录模块”，具备文件管理、键盘记录、插件动态加载、系统重启与关机等远控能力。

▲ “镜昙”攻击链示意（根据CNCERT报告绘制）

把这四点放在一起看，镜昙的思路相当清晰：投递时躲开静态检测，执行时借合法程序掩护，分析时抬高逆向成本，时间上压缩暴露窗口。一个样本只活三天，等特征提取出来、规则写好下发，它可能已经“下班”了。

文件名可以伪装，扩展名可以伪装，
唯有运行起来的行为骗不了人。

三、攻击昙花一现，防线必须前移

我们认为，镜昙至少给企业提了三个醒。

其一，财务岗位已经成为攻击者眼中的“新边界”。镜昙的目标聚焦金融财务、银行和税务，诱饵全部围绕报税、对账、采购等日常业务构建。对这些岗位而言，“收到文件、打开文件”是每天要重复无数次的动作。单靠提醒员工“提高警惕”，很难防住精心伪装的业务文件。CNCERT在防范建议中也专门提出，要面向财务、业务对接、行政等岗位开展专项安全意识培训。

其二，单纯依赖特征的静态检测，对“短命样本”天然吃亏。外壳换成镜像、配置三重处理、样本数日即失效，几件事叠加在一起，意味着“等特征库更新”的节奏很难追上攻击的节奏。防守方需要在文件到达员工手中之前，就看清它运行起来会做什么。

其三，“看不见”不等于“没发生”。木马到期即停，终端上的活跃迹象随之消失，事后排查的难度随之增加。CNCERT建议，金融、银行、集团财务类单位应回溯近3个月的邮件附件、即时通信文件和网页下载全链路日志，逐笔排查；同时妥善留存终端与边界日志，为影响范围认定和溯源提供依据。现实中，不少企业真到需要回溯时才发现：邮件早已被用户删除，日志没有留存，或者留了也查不动。

还有一点值得注意。CNCERT在防范建议中明确提出，要在邮件网关、网页代理、即时通信网关预置仿冒软件类钓鱼链接的拦截规则，“从投递端阻断钓鱼下载路径”。对企业来说，邮件是外部业务文件和链接最集中的入口之一，也是把防线前移最现实的位置。

防线越靠前，代价越低。

四、网际思安：截诱饵，留证据

针对镜昙这类攻击，网际思安的思路是“事前拦截、事中阻断、事后可查”，由MailSec邮件安全网关、MailSec邮件防泄密网关与MailSec邮件归档管理系统协同完成，覆盖从诱饵投递到事后追溯的完整链路。

▲ 邮件入口纵深防护示意

（一）诱饵邮件：验身份、看意图

钓鱼邮件要让财务人员点开，往往要冒用税务、银行、供应商等可信身份。MailSec邮件安全网关在连接层查询威胁情报库与RBL实时黑名单，拒绝已知恶意IP的连接；在应用层严格执行SPF、DKIM、DMARC发件人认证，识别伪造域名，并结合发件人域名的历史信誉、HELO/EHLO规范性和发送频率综合判断。BEC防诈骗功能会比对发件人显示名称与真实发件地址是否匹配，识别“名字像银行、地址却很陌生”的仿冒邮件。对于“请尽快核对对账单”这类制造紧迫感的话术，网关可选配大模型意图分析能力，从正文的语义和上下文中识别紧迫感、诱导性等社交工程特征。

（二）恶意链接：替员工“点一下”

镜昙的下载链路层层跳转：钓鱼链接、仿冒下载站、对象存储直链。MailSec邮件安全网关会提取邮件正文和附件中（包括图片和二维码内）的全部URL，与威胁情报库和黑白名单比对；对可疑链接，可选配的邮件URL沙箱会在隔离环境中模拟用户点击，自动跟踪每一次跳转直至最终落地页，分析页面是否诱导输入凭证、是否触发恶意下载。像“tax-documentsXX”这类仿冒下载链接，真正的风险藏在落地页触发的下载行为里，这正是URL沙箱要揭示的东西。

（三）恶意附件：看行为，不看名字

如果诱饵以压缩包附件的形式直接投递，MailSec邮件安全网关首先调用异构多引擎病毒库进行扫描；对通过静态检测或被判定为高可疑的附件，可选配的邮件文件沙箱会在高度隔离的Windows虚拟环境中模拟附件的真实运行过程，观察它是否创建可疑进程、修改注册表、尝试C&C回连。对照报告披露的镜昙行为，写入注册表、连接C2，正是文件沙箱重点捕捉的动态特征。此外，网关的频率分析会统计相同标题、相同收件人、相同附件（基于MD5）的邮件频率，帮助识别批量投放的同源诱饵。

（四）万一失守：防蔓延、防外泄

任何防线都要考虑“万一”。镜昙的远控模块具备键盘记录能力，终端一旦失陷，员工的邮箱口令同样面临被窃取的风险。如果攻击者利用失陷账号向内部同事继续发送钓鱼邮件，MailSec邮件安全网关可选配的内部钓鱼检测插件（目前主要面向Microsoft Exchange环境）会截获内部邮件，交由网关进行全套安全检测，判定为风险即隔离，切断横向扩散。如果攻击者试图借该账号把合同、银行账号等敏感信息批量转发出去，MailSec邮件防泄密网关可通过邮件属性识别引擎与关联分析，发现账号短时间内大量外发敏感内容的异常，触发策略后实时阻断并通知管理员；所有经过检测的邮件同步归档，管理员可以调阅账号被攻破期间的外发与阻断记录，定位起始时间和泄露范围。

（五）事后追溯：证据不能昙花一现

CNCERT建议回溯近3个月的邮件附件，这一步考验的是“有没有留、能不能查”。MailSec邮件归档管理系统通过SMTP BCC密送或日志投递（Journaling）方式，实时归档全部进出及内部邮件，即使用户收到后立即删除，归档系统中仍保留完整的原始记录。系统对邮件正文、附件文本及元数据建立全文索引，能够穿透十几层嵌套压缩包解析附件内容，支持“发件人+时间段+附件关键词”等多条件组合检索，在数亿封邮件的规模下实现秒级响应。

面对一份新披露的威胁报告，安全团队可以按时间窗口和诱饵关键词快速圈定可疑邮件、涉及员工和收件时间，逐笔核查，而不必挨个翻找员工邮箱。归档数据在写入前采用AES-256或国密SM4加密，导出的邮件可提供基于哈希算法的原始性校验，为影响认定和溯源保留可信依据。