1. 银狐病毒到底是个什么东西1.1 从一次真实的应急响应说起去年年底一个做外贸的朋友半夜给我打电话说公司十几台电脑突然开始自己往外发邮件浏览器主页被改成了陌生导航站财务电脑上的通讯软件还自动给客户发了一些莫名其妙的链接。他一开始以为是中了一般的小广告插件用某安全软件全盘扫描了一遍结果什么都没查出来。等我远程连上去看的时候发现进程列表里有一个伪装成系统更新服务的可执行文件路径藏在用户目录下一个很深的临时文件夹里文件名是一串随机字符。手动结束进程之后过了不到两分钟它又自己起来了注册表里被写了好几个自启动项互相守护。这就是典型的银狐类恶意程序的行为特征。它不是一个单一的病毒样本而是一类以远程控制、信息窃取、流量劫持为主要目的的恶意程序家族。之所以叫“银狐”是因为早期样本在释放的载荷里带有特定的标识字符串后来这个名字就在圈子里传开了。它的核心危害不在于破坏系统文件而在于长期潜伏、窃取敏感信息、把受害机器变成可控的跳板。很多人第一次遇到它的时候第一反应是“我装了安全软件为什么没报”。这个问题后面我会专门讲因为银狐类样本的对抗手段确实比普通病毒高一个档次它针对主流安全软件的检测逻辑做了大量规避处理包括代码混淆、白利用、无文件落地、定时唤醒等等。所以单靠一款工具往往搞不定需要组合拳。1.2 为什么普通杀毒软件经常查不出来要理解为什么需要专杀工具得先搞清楚银狐类样本的几个关键规避手法。第一是白利用。它会加载系统里本来就有的、有正规签名的可执行文件把恶意代码注入进去或者利用这些合法程序的加载机制去执行恶意逻辑。安全软件看到的是有签名的正常程序在跑自然不会轻易拦截。第二是无文件落地。恶意代码不直接写到硬盘上而是驻留在内存里或者通过计划任务、注册表、WMI等方式触发执行。传统的文件扫描引擎扫不到实体文件自然报不出来。第三是时间规避。很多样本会检测当前时间或者检测自己运行了多久如果发现环境不对就休眠等过一段时间再激活。安全软件的实时监控不可能一直盯着每一个进程不放这就给了它可乘之机。第四是针对性的免杀。银狐的运营者会持续更新样本专门针对国内主流安全软件的检测规则做免杀处理。你今天能查出来的样本明天更新一版可能就查不出来了。正因为这些原因单靠一款安全软件的全盘扫描很多时候是查不干净银狐的。这也是为什么奇安信、360、深信服、启明星辰这些厂商都推出了专门的查杀工具因为通用引擎搞不定的东西需要针对性的检测逻辑和清除方案。1.3 哪些人最需要关注这类工具不是所有人都有必要折腾专杀工具。如果你只是普通家用电脑平时上网习惯良好装一款正规安全软件保持更新基本够用。但以下几类情况建议你认真了解一下银狐专杀工具的使用方法。一是企业IT运维人员。公司内网一旦有一台机器中招很容易通过共享目录、内网通讯工具、弱口令等方式横向扩散。运维人员需要快速定位和清除避免影响面扩大。二是经常处理敏感信息的岗位。财务、人事、法务这些岗位的电脑里存着大量敏感数据一旦被银狐类程序盯上后果不是重装系统能解决的。三是安全爱好者和小型工作室。你可能没有专业的安全团队但又不放心把机器交给别人处理自己掌握一套查杀流程会安心很多。四是已经中招但用普通工具查不出来的人。如果你发现电脑有异常行为比如浏览器主页被改、自动打开陌生网页、通讯软件自动发消息、系统变慢但找不到原因那大概率是中了这类东西需要上专杀工具。2. 四款主流专杀工具的核心能力拆解2.1 奇安信天擎专杀工具企业内网的首选奇安信在政企安全领域深耕多年天擎是它的终端安全管理平台。针对银狐类样本奇安信推出了专门的查杀工具可以独立运行也可以集成在天擎平台里下发。这个工具的核心优势在于检测逻辑的针对性。它不只是靠特征库匹配还结合了行为检测和内存扫描。对于白利用和无文件落地的样本它会检查进程的加载模块、内存中的可疑代码段、以及注册表和计划任务里的异常项。实测下来对于已经驻留在内存里的银狐样本它的检出率比通用引擎高不少。另一个优势是清除的彻底性。银狐类样本往往会留下多个互相守护的进程和自启动项普通工具杀掉一个另一个马上把它拉起来。奇安信的工具会先定位所有关联项然后一次性清除包括注册表项、计划任务、服务、驱动等。这一点在实际应急中非常关键。使用上奇安信天擎专杀工具支持命令行和图形界面两种方式。企业环境下可以通过天擎平台批量下发扫描任务适合大规模排查。单机使用的话下载独立版本以管理员权限运行选择全盘扫描即可。需要注意的是扫描前最好先断开网络防止样本在扫描过程中从远端拉取更新或执行其他恶意操作。提示奇安信天擎专杀工具在扫描时会占用较多系统资源建议在业务低峰期执行避免影响正常办公。2.2 360银狐专杀工具个人用户上手最快360在个人安全市场占有率很高它的银狐专杀工具最大的特点就是上手门槛低。下载下来直接双击运行界面简洁点一下“开始扫描”就行不需要任何配置。对于不太懂技术的个人用户来说这是最省心的选择。功能上360的专杀工具集成了针对银狐类样本的专项检测规则包括对常见释放路径、注册表键值、计划任务名称的匹配。它还会检查浏览器快捷方式是否被篡改、主页设置是否被劫持、以及是否存在异常的网络连接。实测中我发现360专杀工具对于浏览器劫持类的银狐变种效果比较好。很多用户中招后的第一反应就是浏览器主页被改了用这个工具扫一遍基本能定位到劫持源并修复。但它对于深层的无文件落地样本检出能力相对有限可能需要配合其他工具使用。另外要注意的是360的专杀工具和360安全卫士是两回事。专杀工具是独立的、针对特定样本的清除工具不需要安装安全卫士就能运行。如果你不想装全家桶单独下载专杀工具用就行。注意运行360专杀工具时建议先退出其他安全软件避免多个安全软件的驱动互相冲突导致扫描异常。2.3 深信服专杀工具终端防护体系的补充深信服在网络安全和终端防护领域有完整的产品线它的银狐专杀工具通常是作为终端防护中心EDR的一个补充模块存在。如果你公司已经在用深信服的终端防护产品那直接用内置的查杀功能就行不需要额外下载。深信服的工具强项在于网络行为关联分析。银狐类样本在运行过程中往往会有外联行为比如回连C2服务器、下载后续载荷、上传窃取的数据。深信服的工具会结合网络流量特征和终端行为日志综合判断是否存在恶意活动。这种检测方式对于传统文件扫描查不出来的样本特别有效。单机使用的话深信服也提供了独立的查杀工具但相对来说获取渠道没有前两家那么方便通常需要通过官方技术支持渠道获取。使用方法和一般专杀工具类似以管理员权限运行选择扫描模式等待结果。需要提醒的是深信服的工具在清除样本后可能会在系统里留下一些日志和隔离文件如果磁盘空间紧张记得手动清理一下隔离区。2.4 启明星辰专杀工具老牌安全厂商的稳健方案启明星辰是国内老牌的安全厂商它的银狐专杀工具延续了其一贯的稳健风格。检测引擎结合了特征匹配、启发式分析和行为监控对于已知样本的清除比较彻底对于未知变种也有一定的检出能力。这个工具的一个特点是清除策略比较保守。它不会一上来就暴力删除所有可疑文件而是先隔离确认无误后再清除。这样做的好处是避免误删系统文件导致系统崩溃坏处是清除过程可能需要多一步确认。对于企业环境来说这种保守策略反而更受欢迎因为误杀业务系统的代价太高了。启明星辰的工具还支持生成详细的扫描报告包括发现的威胁名称、路径、处理结果等。这份报告在事后溯源和向管理层汇报时很有用。使用上和前面几款类似下载后以管理员权限运行选择扫描范围等待完成。如果是在企业内网使用可以结合启明星辰的终端管理平台批量下发任务。3. 实操流程从发现异常到彻底清除3.1 中招后的第一反应应该是什么发现电脑有异常行为后第一件事不是急着杀毒而是判断影响范围。如果是单机环境直接断网然后开始排查。如果是企业内网先确认有多少台机器出现类似症状把受影响的机器从网络里隔离出来防止横向扩散。断网这个动作很关键。银狐类样本很多都有远程控制功能你在这边杀它在那边通过C2通道接收指令重新下载自己永远杀不干净。断网之后它就失去了外部支援清除难度会大幅降低。断网之后不要急着重启。有些样本会在重启过程中通过驱动或者服务重新加载重启反而可能让清除变得更麻烦。先保持当前状态用工具扫描把能定位到的恶意项都找出来。如果你不确定自己是不是中了银狐可以对照下面这些典型症状浏览器主页被改成陌生导航站改回去之后过一段时间又变回来通讯软件自动给联系人发送不明链接或文件系统里出现陌生的计划任务或服务名称通常是随机字符任务管理器里看到可疑进程结束之后自动重启网络流量异常空闲时也有大量外联连接安全软件被莫名关闭或卸载无法重新开启出现两条以上基本可以确定中招了。3.2 用专杀工具扫描的正确姿势很多人用专杀工具的方式是下载、双击、点扫描、等结果、点清除。这个流程本身没错但有几个细节决定了你能不能清干净。第一用管理员权限运行。银狐类样本很多会修改系统目录、注册表、服务等需要高权限才能操作的位置。如果你用普通用户权限运行专杀工具它可能扫不到那些位置或者扫到了也删不掉。右键点击工具图标选择“以管理员身份运行”这是最基本的要求。第二扫描前更新工具版本。银狐的变种更新很快专杀工具的检测规则也需要持续更新。下载工具后先检查有没有更新按钮点一下确保用的是最新版本。如果工具支持联网更新在断网之前先更新好。第三选择合适的扫描模式。大多数专杀工具提供快速扫描、全盘扫描、自定义扫描三种模式。快速扫描只检查常见感染位置速度快但可能漏掉。全盘扫描检查所有磁盘耗时长但更彻底。如果你确定中招了直接上全盘扫描不要图省事。第四扫描过程中不要操作电脑。扫描时工具需要读取大量文件和分析内存如果你同时还在用电脑做其他事情可能会影响扫描的准确性也可能触发样本的规避机制。让电脑安安静静地扫完。第五扫描完成后不要立即重启。先看扫描报告确认所有威胁都被处理了。如果有“需要重启后清除”的项再重启。重启后建议再扫一遍确认没有残留。3.3 多工具组合使用的策略前面说了单靠一款工具往往搞不定银狐。那是不是把四款工具都装上去扫一遍就行了也不是。多个安全软件同时运行驱动之间可能冲突反而导致系统不稳定。正确的做法是串行使用一款扫完清除后再用下一款复查。推荐的组合策略是这样的第一步用360专杀工具做第一轮扫描。它上手快对于常见的浏览器劫持和表层感染清除效果不错。扫完之后重启观察症状是否消失。第二步如果症状还在用奇安信天擎专杀工具做第二轮。它的检测深度更大对于内存驻留和白利用的样本有更好的检出能力。这一轮重点看有没有之前没发现的隐藏项。第三步如果还不放心用深信服或启明星辰的工具做第三轮复查。这两款工具的行为分析能力更强可以发现一些通过纯文件扫描查不出来的异常活动。每一轮之间建议重启一次让系统状态刷新。全部扫完之后再观察一两天确认没有复发。提示如果你是企业运维建议先在测试机上验证工具组合的效果再批量下发到生产环境避免误杀业务系统。3.4 清除后的系统加固专杀工具把样本清掉了不代表事情就结束了。银狐类样本往往会留下一些后门或者配置修改如果不修复过一段时间可能又会被重新感染。清除后需要检查这几个地方浏览器快捷方式。右键查看浏览器快捷方式的目标路径看看后面有没有被追加奇怪的网址参数。如果有把多余的部分删掉只保留浏览器本身的路径。DNS设置。检查网络适配器的DNS配置看看有没有被改成陌生的DNS服务器。如果有改回自动获取或者你信任的DNS。代理设置。检查系统代理设置和浏览器代理设置看看有没有被指向陌生的地址。银狐类样本有时会通过代理劫持流量。计划任务。打开任务计划程序检查有没有陌生的任务特别是那些触发器设置为“登录时”或“定时”的任务。发现可疑的直接删除。注册表启动项。检查注册表的Run、RunOnce等启动项位置看看有没有陌生的条目。这个操作需要一定经验不确定的话可以用安全软件的开机启动管理功能来查看。** hosts文件**。检查系统hosts文件看看有没有被添加陌生的域名映射。这个文件在系统目录下用记事本打开就能看。把这些地方都检查一遍确认没有残留才算真正清干净。4. 常见问题与排查技巧实录4.1 专杀工具扫不到东西但症状还在怎么办这是最常见的问题。原因通常有三个一是样本不在工具的特征库里属于新变种二是样本采用了无文件落地的方式工具的文件扫描引擎扫不到三是样本在工具运行时主动休眠了等工具扫完再激活。对应的排查思路是这样的。首先确认工具版本是最新的如果工具支持联网更新先更新再扫。其次换一款工具试试不同厂商的检测逻辑不一样A家扫不到的B家可能能扫到。第三进入安全模式扫描。安全模式下很多样本的自启动机制会失效工具更容易发现和清除。第四如果以上都不行考虑手工排查。用任务管理器、资源监视器、Autoruns等工具检查异常进程、网络连接、启动项。手工排查需要一定经验但对付顽固样本往往有效。4.2 清除后反复感染怎么处理反复感染说明清除不彻底或者存在重新感染的渠道。先确认是不是同一台机器反复感染还是内网里有多台机器互相感染。如果是后者只清一台没用需要全网排查。单机反复感染的话重点检查这几个地方一是系统里有没有残留的恶意服务或驱动这些在普通扫描中容易被忽略二是浏览器有没有被安装恶意扩展有些扩展会重新下载样本三是通讯软件有没有被植入自动发送的脚本四是系统里有没有被创建隐藏账户攻击者可能通过这个账户重新登录。如果实在清不干净最稳妥的办法是备份重要数据然后重装系统。重装前记得把数据盘也扫一遍避免数据盘里的样本重新感染新系统。4.3 企业内网批量排查的注意事项企业内网排查和个人单机排查完全是两回事。个人用户断网、扫描、清除就行企业内网要考虑业务连续性、影响范围、清除顺序等问题。首先不要一上来就全网断网。先确认感染范围把受影响的机器隔离出来就行。全网断网会影响业务而且可能打草惊蛇让攻击者提前转移或加密数据。其次从核心业务机器开始排查。财务、人事、服务器这些机器优先级最高先确保这些机器干净再逐步扩展到普通办公机器。第三统一工具版本和扫描策略。不同机器用不同版本的工具扫描结果没有可比性。建议通过终端管理平台统一下发任务确保每台机器用的都是最新版本、同样的扫描策略。第四保留扫描日志。每台机器的扫描结果都要保存下来方便事后溯源和分析感染路径。如果后续需要向管理层汇报这些日志就是证据。第五清除后修改相关密码。银狐类样本很多带有信息窃取功能通讯软件、邮箱、业务系统的密码可能已经泄露。清除完成后建议让受影响用户修改相关密码避免后续被利用。4.4 常见问题速查表问题现象可能原因处理建议专杀工具扫不到威胁但症状明显样本为新变种或无文件落地换工具、进安全模式扫描、手工排查清除后重启又出现存在守护进程或残留启动项检查服务、驱动、计划任务、注册表浏览器主页反复被改快捷方式被篡改或存在恶意扩展修复快捷方式、清理浏览器扩展安全软件无法启动样本劫持了安全软件进程进安全模式运行专杀工具内网多台机器同时中招存在横向传播渠道隔离受影响机器、排查共享目录和弱口令清除后网络仍然异常DNS或代理设置被篡改检查网络配置、恢复默认设置工具运行时报错权限不足或与其他安全软件冲突以管理员运行、暂时退出其他安全软件4.5 几个容易踩的坑第一个坑是只扫C盘。银狐类样本可能藏在其他分区特别是数据盘和临时目录。全盘扫描虽然慢但该扫还得扫。第二个坑是扫完不重启就下结论。有些威胁需要重启后才能彻底清除扫完看到“已处理”就以为没事了重启后发现还在。扫完先重启再复查一遍。第三个坑是多款安全软件同时装。前面说过驱动冲突可能导致系统蓝屏或者扫描异常。串行使用用完一款卸载一款或者至少退出实时监控。第四个坑是忽略浏览器扩展。很多浏览器劫持是通过恶意扩展实现的专杀工具不一定能扫到扩展目录。手动检查浏览器扩展列表把不认识的、来源不明的扩展都禁用或删除。第五个坑是清除后不修改密码。如果样本有信息窃取功能你的密码可能已经在攻击者手里了。清除只是第一步改密码是必须的后续动作。5. 工具获取与版本选择建议5.1 从哪里获取这些专杀工具四款工具中360和奇安信的专杀工具获取渠道最方便官网或者官方公众号一般都能找到下载入口。深信服和启明星辰的工具相对封闭一些通常需要通过官方技术支持或者企业客户渠道获取。下载的时候注意几点一是认准官方渠道不要从第三方下载站获取避免下载到捆绑了其他东西的安装包二是下载后校验文件哈希确认文件没有被篡改三是注意工具版本尽量用最新版旧版本可能已经无法检出新的变种。如果你是企业用户建议直接联系厂商的技术支持获取企业版的专杀工具和配套的排查方案。企业版工具通常支持批量部署和集中管理比单机版效率高很多。5.2 版本更新与维护专杀工具不是下载一次就一劳永逸的。银狐的变种更新频率很高工具的检测规则也需要持续更新。建议每隔一段时间检查一下有没有新版本或者在排查前先更新到最新版。有些工具支持自动更新有些需要手动下载新版本覆盖。不管哪种方式保持工具处于最新状态是保证检出率的前提。另外建议把常用的专杀工具放在一个固定的U盘或者网络位置需要的时候随时能拿到。不要等到中招了才到处找下载链接那时候可能已经来不及了。5.3 配合使用的辅助工具除了四款专杀工具还有几个辅助工具值得备着。Autoruns微软官方出的启动项管理工具可以查看所有自启动位置包括注册表、计划任务、服务、驱动等。手工排查时非常有用。Process Explorer比任务管理器更强大的进程查看工具可以看到进程的加载模块、网络连接、句柄等信息。判断进程是否可疑时很有帮助。火绒剑国内的一款安全分析工具可以监控进程、文件、注册表、网络等活动。对于分析样本行为很有用。PE系统盘如果系统已经无法正常启动或者样本在正常模式下无法清除可以用PE系统盘启动在PE环境下扫描和清除。PE环境下样本的自启动机制不生效清除成功率更高。这些工具不需要全部精通但至少要知道它们是干什么的需要的时候能想起来用。6. 个人实操体会折腾银狐类样本这几年我最大的体会是清除只是最后一步前面的判断和隔离才是关键。很多人一发现中招就急着找工具杀毒结果杀完没两天又中招就是因为没有切断感染渠道。断网、隔离、确认范围这些动作看起来简单但决定了后续清除的效率和效果。另一个体会是不要迷信单一工具。银狐的对抗手段在持续进化没有哪款工具能保证百分之百检出。多备几款工具串行使用互相补充才是更稳妥的策略。我自己的习惯是至少用两款不同厂商的工具交叉验证一款扫完另一款复查确认没有残留才放心。还有就是日常防护比事后清除重要得多。银狐类样本主要通过钓鱼邮件、恶意链接、破解软件、弱口令等方式传播。平时上网习惯好一点不随便点陌生链接不用来路不明的软件密码设置复杂一点能挡掉大部分感染途径。真到了要动用专杀工具的时候说明防线已经被突破了损失可能已经造成了。最后分享一个小技巧如果你经常需要帮别人处理这类问题建议准备一个专用的排查U盘里面放好四款专杀工具的最新版、Autoruns、Process Explorer、火绒剑以及一个PE系统。需要的时候直接插上就能用不用临时下载。这个U盘每隔一两个月更新一次工具版本保证里面的东西都是最新的。实测下来这套组合能覆盖绝大多数银狐类样本的排查和清除场景。