12月20日开yun体育网，国度商量机病毒救急处理中心发布对于针对我国用户的“银狐”木马病毒再次出现新变种并更新传播手法的预警论说。

　　一、联系病毒传播案例

　　近日，国度商量机病毒救急处理中心和商量机病毒防治本事国度工程执行室依托国度商量机病毒协同分析平台（https://virus.cverc.org.cn）在我国境内再次拿获发现针对我国用户的“银狐”木马病毒的最新变种。在本次传播经过中，过失者不竭通过构造财务、税务违法检讨陈说等主题的垂钓信息和保藏集中，通过微信群径直传播包含该木马病毒的加密压缩包文献，如图1所示。

　　图1 垂钓信息及压缩包文献

　　图1中名为“札记”等字样的保藏集中指向文献名为“违法-纪录（1）.rar”等压缩包文献，用户按照垂钓信息给出的解压密码解压压缩包文献后，会看到以“开票-目次.exe”、“违法-晓示.exe”等定名的可奉行程小引件，这些可奉行关节本体为“银狐”远控木马眷属于12月更新传播的最新变种关节。要是用户驱动联系坏心程小引件，将被过失者实施汉典松手、窃密等坏心操作，并可能被非法分子控制充任进一步实施电信蓄积糊弄步履的“跳板”。

　　二、病毒感染特征

　　1. 垂钓信息特征

　　本次发现过失者使用的垂钓信息仍然以伪造官方陈说为主。结合年末本性，过失者刻意强调“12月”、“检讨”、“违法”等枢纽词，借此使潜在受害者增多首要感从而削弱警惕。在垂钓信息之后，过失者不竭发送附带所谓的联系责任文献的垂钓集中。

　　2. 文献特征

　　1）文献名

　　对于本次发现的新一批变种，非法分子不竭将木马病毒关节的文献名树立为与财税、金融惩办等联系责任具有密切辩论的称号，以引诱联系岗亭责任主谈主员点击下载驱动，如：“开票-目次”、“违法-纪录”、“违法-晓示”等。这次发现的新变种仍然只针对装置Windows操作系统的传统PC环境，非法分子也会在垂钓信息中使用“请使用电脑版”等话术进行有针对性的沟通领导。

　　2）文献花样

　　本次发现的新变种以RAR、ZIP等压缩花样（内含EXE可奉行关节）为主，与之前变种不同的是，这次过失者为压缩包树立了解压密码，并在垂钓信息中进行领导见告，以掩盖酬酢媒体软件和部分安全软件的检测，使其具有更强的传播才能。

　　3）文献HASH

　　34101194d27df8bc823e339d590e18f2

　　蓄积安全惩办员可通过国度商量机病毒协同分析平台（https://virus.cverc.org.cn）得到联系病毒样本的平缓信息，如下：

　　https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=34101194d27df8bc823e339d590e18f2

　　3.程度特征

　　木马病毒被装置驱动后，会在操作系统中创建新程度，程度名与文献名相似，并从回联处事器下载其他坏心代码径直在内存中加载奉行。

　　4.蓄积通讯特征

　　回联地址为：156.***.***.90，端标语为：1217

　　号令松手处事器（C2）域名为：mm7ja.*****. cn，端标语为：6666

　　蓄积安全惩办员可证实上述特征成就防火墙战术，对相配通讯动作进行遏止。其中与C2地址的通讯经过中，过失者集蓄积受害主机的操作系统信息、蓄积成就信息、USB树立信息、屏幕截图、键盘纪录、剪切板内容等敏锐数据。

　　5.其他特征

　　本次发现的新变种还具有主动过失安全软件的功能，试图通过模拟用户鼠标键盘操作关闭防病毒软件。

　　三、退守门径

　　临连年末，国度商量机病毒救急处理中心再次领导纷乱企职业单元和个东谈主蓄积用户提升针对各样电信蓄积糊弄步履的警惕性和退守意志，不要任意被非法分子的垂钓话术所沟通。结合本次发现的银狐木马病毒新变种传播步履的联系本性，提倡纷乱用户摄取以下退守门径：

　　1.不要轻信微信群、QQ群或其他酬酢媒体软件中传播的所谓政府机关和宇宙惩办机构发布的陈说及联系责任文献和官方关节（或相应下载集中），应通过官方渠谈进行核实。

　　2.带密码的加密压缩包并不代表内容安全，针对访佛这次传播的“银狐”木马病毒加密压缩包文献的新本性，用户可将解压后的可疑文献先行上传至国度商量机病毒协同分析平台（https://virus.cverc.org.cn）进行安全性检测，并保抓防病毒软件及时监控功能开启，将电脑操作系统和防病毒软件更新到最新版块。

　　3.一朝发现电脑操作系统的安全功能和防病毒软件在非自主操作情况下被相配关闭，应立即主动堵截蓄积引诱，对首要数据进行转移和备份，并对子系树立进行停用直至通过系统重装或归附、全齐的安全检测和安全加固后方可不竭使用。

　　4.一朝发现微信、QQ或其他酬酢媒体软件发生被盗雅瞻念，应向亲一又和地地契元共事见告联系情况，并通过相对安全的树立和蓄积环境修改登录密码，对我方常用的商量机和移动通讯树立进行杀毒和安全检验，如反复出现账号被盗情况，应在备份首要数据的前提下，琢磨再行装置操作系统和防病毒软件并更新到最新版块。

　　本预警论说得到了北京神州绿盟科技有限公司、北京华安云科蓄积本事有限公司、南开大学蓄积空间安全学院、北京瑞星网安本事股份有限公司、安天科技集团股份有限公司、商量机病毒防治本事国度工程执行室和国度商量机病毒协同分析平台等各共建单元的本事和信息撑抓开yun体育网，特此致谢。