银狐木马-从杀软打不开到彻底清干净
原创
围巢安全笔记
围巢安全笔记
围巢安全笔记
2026年11月2日 09:00
北京
去阅读
应急响应 · 处置篇
财务同事在群里收到一个「发票.zip」，解压出来是个 exe，双击之后什么都没发生。
第二天她发现，杀毒软件打不开了。点图标，闪一下就没了。
这就是银狐。它不靠 0day，不靠复杂利用链，靠的是先把你的杀软废掉，再安安静静地住下来。技术含量不高，但极其有效——这两年国内政企环境里最常见的远控木马之一。
这篇按处置顺序讲：先抢回杀软、再清四层持久化、最后断掉它的「自动修复」。约 4600 字，附完整操作清单。
01｜它为什么叫「银狐」
名字来自最初传播时的诱饵文件——伪装成「银狐」相关的财税资料。后来诱饵换了无数种，名字留下来了。
这类木马在圈内也叫「游蛇」「谷堕大盗」等，是同一个家族的不同变种。它们的共同特征是：
· 通过 IM（微信 / QQ / 钉钉）点对点投递，不是群发
· 伪装成财税、发票、通报、补贴名单这类「必须打开」的文件
· 用 WDAC 策略禁用安全软件
· 多层持久化，删一层就复活
注意第一条：点对点投递。这意味着攻击者已经拿到了内部通讯录，或者盗用了某个同事的账号。你收到的那条消息，可能真的是「同事」发来的。
HKLM\\SYSTEM\\CurrentControlSet\\Services sc.exe stop 服务名 # 然后删除对应的注册表项
服务不删，系统每次启动都会尝试加载这个 dll。文件删了也没用，服务会报错但木马的其他部分还在。
第三层：启动项
老套路，但不能不查：
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
右侧的项名和值都要看。值指向不存在路径的、指向 temp 目录的，都要删。
第四层：MSI 自动修复（最阴的一层）
如果木马是通过 MSI 安装包进来的，那就麻烦了。
Windows Installer 有个「自修复」机制：程序文件损坏或丢失时，系统会自动从缓存里恢复。这个机制本来是给正常软件用的，银狐把它变成了「删了自动长回来」。
要彻底断掉，三样东西必须一起清：
1. 产品注册项：HKLM\\SOFTWARE\\Classes\\Installer\\Products 下找可疑产品 ID（看文件路径是否和病毒一致）
2. 组件注册：上一级 Components 目录里搜这个 ID，删掉对应项
3. 本地缓存包：在 LocalPackage 字段指向的路径，通常是 C:\\Windows\\Installer\\ 下的一个 .msi
三样剩一样，它都能活。
怎么判断中没中 MSI 这招
把 exe 删掉，等 1-2 分钟，再看文件回不回来。
回来了，就是 MSI 修复。不回来，继续查别的原因（比如计划任务还没删干净）。
05｜还有一个容易被忘的地方：hosts
银狐会改 hosts，把安全厂商的域名指到无效地址。
C:\\Windows\\System32\\drivers\\etc\\hosts # 可能看到这种 0.0.0.0 www.360.cn 0.0.0.0 www.huorong.cn
目的很简单：让你没法下载新的杀软、没法在线更新病毒库。
这一条经常被跳过，结果是「杀软装上了但更新不了」，又浪费半小时。
06｜完整的处置顺序
图 4｜顺序不能反，反了就白干
把上面所有步骤串起来，就是这份清单：
1. 断网。拔网线 / 禁用网卡。切断 C2，防止数据外传和横向扩散。
2. 删恶意 WDAC 策略。citool -lp 找双 false，citool -rp 删掉。杀软恢复可用。
3. 清计划任务。导出 CSV，按命名规律和创建时间筛，删除。
4. 结束可疑进程，删本体文件。注意先开「显示隐藏的系统文件」，否则看不见。
5. 删驱动、清服务。查伪装成图片的 dll，删文件 + 删 Services 注册表项。
6. 清启动项和 MSI 修复链。Run 键 + Products + Components + 缓存包。
7. 查 hosts。删掉把安全厂商域名指向 0.0.0.0 的条目。
8. 全盘扫描 + 验证。杀软更新到最新库，全盘扫一遍。然后观察 10 分钟，看有没有进程 / 文件回来。
删文件时如果提示「权限不足」，需要改所有者：右键 → 属性 → 安全 → 高级 → 更改所有者 → 勾选「替换子容器和对象的所有者」→ 给当前用户完全控制 → 再删。
临时目录也要清：%temp% 和 C:\\Windows\\Temp。删不掉的通常是系统占用，跳过即可。
07｜溯源：入口和影响范围
清完之后要回答两个问题：怎么进来的、暴露了什么。
入口基本就四种（IM / 邮件 / 仿冒站 / 捆绑），问用户最近有没有点过什么可疑文件，一般能问出来。注意问的方式——别用「你是不是点了病毒」，用「昨天那个发票文件是谁发的」。
影响范围更关键。这类木马的主要目的是窃密：浏览器保存的密码、IM 聊天记录、文档、内网凭证。
所以处置完必须做这几件事：
· 改密码。所有在这台机器上登录过的账号，包括浏览器保存的
· 检查有没有用它登录过内网系统、VPN、堡垒机
· 查同网段其他机器有没有相同特征（这类木马会横向）
· 如果这台机器能访问敏感数据，评估数据外传的可能
很多人只做「清病毒」不做「评估影响」，结果三个月后发现有人用泄露的凭证登录了业务系统。
处置的一句话版本
断网 → 抢杀软 → 清四层持久化 → 断 MSI 修复 → 查 hosts → 评影响。
顺序是这套流程里最重要的东西，比具体命令重要。
08｜怎么确认真的清干净了
「看着像没了」和「确实没了」是两件事。这一步别省。
验证一：文件删了会回来吗。把本体 exe 删掉，等 5 到 10 分钟，再去看那个路径。回来了说明持久化没断干净——回去查计划任务和 MSI。
验证二：进程会不会重新出现。任务管理器开着放十分钟，观察有没有新的随机名进程。或者用命令行持续看：
tasklist /v | findstr /i \"temp appdata\"
看有没有进程的可执行路径落在临时目录、AppData 这类不该有程序的地方。
验证三：WDAC 策略会不会被重新写入。再跑一次 citool -lp，确认没有新的双 false 策略冒出来。这一条最容易被忽略——策略被重新写入，通常意味着还有一层持久化没清掉。
验证四：杀软能正常更新。打开杀软，执行一次在线更新。能更新说明 hosts 干净、网络通、没有被策略拦截。连不上就回去查 hosts。
验证五：全盘扫描结果。病毒库更新到最新，做一次全盘扫描。有残留会在这里暴露。
五条都过，才算清完。整个过程大概半小时，比「清完就走、三天后复发、再来一次」省时间。
别在这时候解除隔离
验证要在断网状态下做完。很多人的流程是「清完 → 插网线 → 观察」，结果一插网线它就重新下载载荷。
等五条验证全过，再恢复网络。
09｜加固：这类事怎么少发生
银狐不会消失，因为它的成本太低了。能做的只有提高门槛：
技术上：
· 禁用 Office 宏（组策略），这一条能挡掉一大批
· 关闭 IM 客户端的「自动接收文件」
· 应用白名单（AppLocker / WDAC 的正经用法），只允许运行已知程序
· EDR 开启「防篡改保护」，防止自己被禁用
· 普通员工不给管理员权限——这一条能挡掉大半
管理上：
· 明确「软件只从官方渠道装」，写进制度并真的执行
· 财务、HR 这类高危岗位单独做培训，讲具体案例而不是念 PPT
· 建立「可疑文件上报」通道，让员工愿意上报而不是自己删掉
最后一条经常被忽略。很多人中了招不敢说，自己删一删就当没发生——这比中招本身更危险。
给安服同行的一句提醒
这类事件一年要处理几十次，很容易变成机械操作：断网、删任务、删文件、走人。
但每次都花五分钟问一句「这台机器上有哪些凭证、哪些数据」，能帮你躲掉后面更大的麻烦。
银狐的技术水平其实不高——没有内存马那种精巧，没有 0day 那种震撼。它赢在「流程化」和「批量化」：一套模板改一改，投给一万个人，总有人点。
对付这种东西，靠的不是更牛的检测引擎，是更笨的基本功：不点来历不明的文件、不给普通用户管理员权限、出了事第一时间断网。
围巢安全笔记
不生产焦虑，只分享踩过的坑和挖过的洞
你处理过最难缠的持久化是哪种？👇
有想聊的话题，后台留言告诉我
往期回顾
- 钓鱼攻击：一封邮件是怎么把整个公司搞垮的
- 权限维持：拿到服务器之后怎么留后门
- 应急响应：服务器被黑了，第一时间该干什么
- 挖矿病毒：CPU 爆满之后，我才看清这台机器
评论