本文来源，反诈课堂微信公众号。

警惕！“银狐”木马病毒再次出现新变种并更新传播手法；

我国境内再次捕获发现针对我国用户的“银狐”木马病毒的最新变种。在本次传播过程中，攻击者继续通过构造财务、税务违规稽查通知等主题的钓鱼信息和收藏链接，通过微信群直接传播包含该木马病毒的加密压缩包文件，如图1所示。

回答：这张图片显示了一个聊天界面，内容如下：

1. 顶部有一个群聊的名称，但被部分遮挡，只能看到“群（...）”。

2. 聊天记录中有一条消息，内容是：“12月企业违规稽查通知【请转发公司财务或出纳。望及时查阅，请使用电脑版查阅】文件密码：123。”

3. 下面有一条笔记信息，显示了一个文件名为“[文件]违规-记录(1).rar”的压缩文件。

整体来看，这似乎是一个关于企业违规稽查的通知，并附带了一个压缩文件供下载和查阅。

图1 钓鱼信息及压缩包文件

图1中名为“笔记”等字样的收藏链接指向文件名为“违规-记录（1）.rar”等压缩包文件，用户按照钓鱼信息给出的解压密码解压压缩包文件后，会看到以“开票-目录.exe”“违规-告示.exe”等命名的

可执行程序

文件，这些可执行程序实际为“银狐”远控木马家族于12月更新传播的最新变种程序。

如果用户运行相关恶意程序文件，将被攻击者实施远程控制、窃密等恶意操作，并可能被犯罪分子利用充当进一步实施电信网络诈骗活动的“跳板”。

本次发现攻击者使用的钓鱼信息仍然以伪造官方通知为主。结合年末特点，攻击者刻意强调“12月”“稽查”“违规”等关键词，借此使潜在受害者增加紧迫感从而放松警惕。在钓鱼信息之后，攻击者继续发送附带所谓的相关工作文件的钓鱼链接。

对于本次发现的新一批变种，犯罪分子继续将木马病毒程序的文件名设置为与财税、金融管理等相关工作具有密切联系的名称，以引诱相关岗位工作人员点击下载运行，如：“开票-目录”“违规-记录”“违规-告示”等。

此次发现的新变种仍然只针对安装Windows操作系统的传统PC环境，犯罪分子也会在钓鱼信息中使用“请使用电脑版”等话术进行有针对性的诱导提示。

本次发现的新变种以RAR、ZIP等压缩格式（内含EXE可执行程序）为主，与之前变种不同的是，此次攻击者为压缩包设置了解压密码，并在钓鱼信息中进行提示告知，以逃避社交媒体软件和部分安全软件的检测，使其具有更强的传播能力。木马病毒被安装运行后，会在操作系统中创建新进程，进程名与文件名相同，并从回联服务器下载其他恶意代码直接在内存中加载执行。

回联地址为：156.***.***.90，端口号为：1217

命令控制服务器（C2）域名为：mm7ja.*****.cn，端口号为：6666

网络安全管理员可根据上述特征配置防火墙策略，对异常通信行为进行拦截。其中与C2地址的通信过程中，攻击者会收集受害主机的操作系统信息、网络配置信息、USB设备信息、屏幕截图、键盘记录、剪切板内容等敏感数据。

本次发现的新变种还具有主动攻击安全软件的功能，试图通过模拟用户鼠标键盘操作关闭防病毒软件。

临近年末，

国家计算机病毒应急处理中心

再次提示广大企事业单位和个人网络用户提高针对各类电信网络诈骗活动的警惕性和防范意识，不要轻易被犯罪分子的钓鱼话术所诱导。结合本次发现的银狐木马病毒新变种传播活动的相关特点，建议广大用户采取以下防范措施：

不要轻信微信群、QQ群或其他社交媒体软件中传播的所谓政府机关和公共管理机构发布的通知及相关工作文件和官方程序（或相应下载链接），应通过官方渠道进行核实。

带密码的加密压缩包并不代表内容安全，针对类似此次传播的“银狐”木马病毒加密压缩包文件的新特点，用户可将解压后的可疑文件先行上传至国家计算机病毒协同分析平台（https://virus.cverc.org.cn）进行安全性检测，并保持防病毒软件实时监控功能开启，将电脑操作系统和防病毒软件更新到最新版本。

一旦发现电脑操作系统的安全功能和防病毒软件在非自主操作情况下被异常关闭，应立即主动切断网络连接，对重要数据进行迁移和备份，并对相关设备进行停用直至通过系统重装或还原、完全的安全检测和安全加固后方可继续使用。

一旦发现微信、QQ或其他社交媒体软件发生被盗现象，应向亲友和所在单位同事告知相关情况，并通过相对安全的设备和网络环境修改登录密码，对自己常用的计算机和移动通信设备进行杀毒和安全检查，如反复出现账号被盗情况，应在备份重要数据的前提下，考虑重新安装操作系统和防病毒软件并更新到最新版本。

00后大学生盗取数万个社交平台账号 非法牟利7万余元

2024年12月23日，上海网警报道：近日，在市局网安总队的指导下，黄浦警方成功破获一起针对某互联网社交平台的非法获取计算机信息系统数据案件。犯罪分子利用黑客技术手段盗取账号4万余个，通过售卖账号获利7万余元。警方深挖细查交易背后的黑灰产线索，抓获违法犯罪嫌疑人5人，其中，刑事立案1人，行政处罚4人，教育放行63人。

今年2月，上海警方接到某互联网企业报案称，旗下一款社交平台在进行安全检查的过程中，发现大量账号近期发布涉诈、涉赌、色情等信息。与此同时，平台接到大量相关账号登录异常的投诉举报。

上海警方迅速开展侦查工作，成功锁定某高校计算机专业在读大学生、年仅19岁的犯罪嫌疑人蒋某鹏。经查明，自2023年10月起，蒋某鹏利用平台登录机制漏洞，使用自制的黑客软件伪造用户的“登录凭证”，从而获取登录权限，并搭建网站出售账号。截至案发，蒋某鹏利用黑客技术手段非法获取账号4万余个，通过售卖账号累计获利7万余元。

2024年3月8日，网安部门将犯罪嫌疑人蒋某鹏抓获。蒋某鹏以为利用自己所学编写黑客脚本，是一条轻松获利的“生财之道”，没想到却为此付出惨重的代价。对此他悔恨不已。

经警方进一步深挖涉案线索发现，相关被盗账号背后暗藏着一个黑灰产团伙。史某辉购买涉案账号，林某毅等4人通过购买账号，发布涉诈、涉赌、色情等信息。

目前，蒋某鹏因

非法获取计算机信息系统数据罪

，被黄浦区人民法院判处有期徒刑三年，缓刑三年，并处罚金人民币三万元。史某辉以涉嫌

侵犯公民个人信息罪

被立案侦查。林某毅等4人被处以行政处罚。警方已督促该企业修复系统漏洞，完善落实平台安全机制，对发布违法信息的账号进行封停或禁言。

警方提醒：互联网企业应当严抓网络安全制度落实，采取日志记录、留存等安全措施，定期检查系统和网络，及时修复漏洞和安全隐患。广大网民应当依法依规使用网络，一旦发现平台账号登录异常，请在第一时间保存账号登录异常的有关信息,并联系平台。如涉及财产被盗，应当立即向公安机关报警。

来源 ：公安部网安局、安全学习那些事儿