10月23日，国家互联网应急中心（CNCERT）与启明星辰联合发布《关于"银狐"木马"镜昙(G02)"团伙攻击态势深入分析报告》，披露"银狐"木马家族一个全新的攻击分支。该团伙自2026年7月下旬开始活动，9月进入集中爆发期，目标聚焦金融财务、银行、税务领域，攻击对象覆盖简体、繁体中文用户。监测数据显示，2026年7月17日至10月20日期间，该团伙累计控制设备5834台，单日上线被控设备最高252台，控制服务器单日访问峰值达72.7万次，企业财务、行政岗位人员是重点受害人群。
【一、攻击手法：搜索引擎投毒+仿冒下载站】
攻击者搭建名为"星河科技软件下载中心"的仿冒网站，并通过SEO污染使仿冒站点占据必应等搜索引擎结果前列。诱饵文件多伪装成税务文件、银行对账单、采购订单等财税主题材料（如"tax-documents.zip"、"Bank Statement.zip"），用户下载解压后即触发恶意镜像文件。值得警惕的是，攻击者还借道阿里云OSS、腾讯云COS、AWS S3等正规云存储托管恶意载荷，进一步降低了受害者的戒备心。
【二、技术升级：四大对抗手段显著增强】
与"银狐"历史分支相比，"镜昙"分支完成多维度技术迭代：
① 镜像载体投毒：改用IMG、ISO、VHD镜像文件替代传统EXE安装包，规避主流杀毒软件对可执行文件的静态检测；
② 三重混淆加密：配置信息采用"逆序→加密→逆序"三重处理，并重构配置存储架构，将配置与shellcode合并加密后独立存放，大幅增加安全分析难度；
③ "白加黑"加载：镜像内包含合法程序与恶意DLL，运行时利用合法程序加载恶意模块，并在%public%\NVTELEMETRY目录落地以伪装成系统遥测组件；
④ "昙花一现"机制：木马内置失活时间，到达设定日期后自动停止执行恶意行为，既规避长期驻留的溯源风险，也使安全人员取证追踪更加困难。
被感染设备将接入远程控制系统，攻击者可获得文件管理、键盘记录、插件动态加载、系统重启关机等多种控制能力，并进一步窃取账号凭证与业务数据。经专项打击，该团伙控制规模近期已明显下降，但报告发布时部分钓鱼页面仍可访问，相关风险尚未完全消除。
【三、防范建议】
结合CNCERT报告建议，企业用户应重点落实：
① 软件一律通过官方渠道或正版平台下载，对搜索结果中标注"广告""推广"的下载链接保持警惕；
② 对财务、行政、采购等岗位开展针对性防钓鱼培训，不轻易打开来历不明的"对账单""税务文件"类附件；
③ 在邮件网关、上网行为管理等环节拦截仿冒下载链接，并按报告公布的恶意域名、IP清单在网络出口封堵；
④ 保持终端杀毒软件实时防护开启，定期排查终端异常，妥善留存日志以便溯源处置。
"银狐"系列木马家族迭代速度之快，再次提醒企业：终端安全防护不能只依赖单一杀毒软件，需要"终端防护+上网行为管控+邮件过滤+员工安全意识"的组合防线。昊群可为企业客户提供安全漏洞预警、终端安全加固、上网行为管理及防钓鱼体系建设等服务，帮助企业筑牢终端与办公安全防线。如需安全排查或加固方案支持，欢迎联系昊群。
（信息来源：国家互联网应急中心CNCERT / 启明星辰联合报告 / 中国教育和科研计算机网，2026年10月23日-27日）
