文章总结： 火绒安全团队揭露了银狐远控木马攻击医院的案例，攻击者伪装内部人员以补贴名义钓鱼，利用微信自动接收文件功能无需用户操作即可植入病毒。文章提供了详细的攻击链分析，并给出安全加固建议：强制软件更新、启用高级管控、关闭自动接收文件功能，以及建立纵深防御体系。火绒安全软件可有效拦截此类威胁。
综合评分： 90
文章分类： 漏洞分析,威胁情报,解决方案,安全建设,应急响应
警惕“补贴”陷阱！火绒安全揭示“银狐”远控骗局
原创
火绒安全
火绒安全
2025年11月25日 17:31
北京
点击蓝字，关注+星标⭐精彩内容不迷路~
近期，火绒安全团队协助某医院处置一起由“银狐”远控木马引发的安全事件。攻击者伪装内部人员，以“补贴”名义精准钓鱼，火绒工程师在接报后迅速完成病毒查杀与攻击路径溯源。
核心攻击链
诱饵投递：
攻击者在内部办公群发布伪装成官方通知的钓鱼信息,并在用户无任何操作的情况下，自动下载了伪装成“名单公示.exe”的病毒文件。
火绒安全团队在排查的过程中发现：罪魁祸首为“银狐”，由于企业工作人员的微信中开启了“自动接收文件”，导致无需人为操作，病毒文件就能自己进入本地设备。
火绒安全软件可精准查杀拦截此类“银狐”病毒变种，请所有用户务必确保将软件更新至最新版本，即可有效防御此类威胁。
火绒防护有效性验证
火绒安全团队提醒，使用最新的火绒病毒库并开启【文件实时监控】功能（建议开启中级别及以上），可在病毒文件从微信下载或本地解压的瞬间实现自动拦截与清除，有效扼杀威胁于入侵之初。
火绒安全官方加固建议
根据现场分析与处置经验，我们重申以下主机安全加固标准建议，请各企业用户参照执行：
强制软件更新：必须为所有终端安装并定期更新杀毒软件、防火墙及系统安全补丁，确保防护能力持续有效。
启用高级管控：及时在火绒安全软件设置中，开启 【程序执行控制】-【远程控制工具】 的拦截功能，从系统层面阻断大多数远控软件的运行。
优化软件设置：务必关闭微信等办公软件的“自动接收文件”功能，将文件下载及使用的主动权交还用户，这是阻断此类无感入侵的关键。
结语
在此，火绒安全特别提醒广大用户：
选择可信赖的安全伙伴：在选择安全产品时，请务必选择具有专业技术能力和完善服务体系的厂商，能够在您遇到安全威胁时，提供及时、专业的技术支持。
安全防护需要持续投入：网络安全不是一次性的工作，而是需要持续关注和投入的过程。定期更新安全软件、及时修复系统漏洞、持续开展员工安全意识培训，这些都是构建有效安全防线的必要环节。
建立纵深防御体系：单一的安全措施往往难以应对复杂多变的威胁。建议企业建立包括技术防护、管理制度、人员培训在内的多层次防御体系，确保在任何一层被突破时，其他层面仍能提供有效保护。
何为“银狐”远控？
“银狐”是一种典型的远程控制木马，具备极强的 “隐匿性+窃密性+远控力”三重威胁特性。通常伪装成正常文件诱导用户执行。一旦得手，攻击者即可在用户不知情的情况下，对中毒电脑进行文件操作、屏幕监控、信息窃取等，危害极大。
网络安全防护是一个需要持续努力的动态过程。火绒安全承诺将持续提升主动防御能力，优化产品功能，加强威胁情报收集与分析，为用户提供更加可靠的安全保障。我们也呼吁所有用户与我们协同努力，共同构建更稳固的终端安全防线。
若您在产品使用上有任何问题，或遇到可疑的安全威胁，欢迎随时通过以下官方渠道联系我们，火绒安全团队将竭诚为您提供技术支持：
火绒官方论坛：https://bbs.huorong.cn/
火绒官方服务热线：400-998-3555
（服务时间：法定工作日8:30-20:30，法定节假日9:30-18:30）
HUORONG
火绒安全成立于2011年，是一家专注、纯粹的安全公司，致力于在终端安全领域为用户提供专业的产品和专注的服务，并持续对外赋能反病毒引擎等相关自主研发技术。多年来，火绒安全产品凭借“专业、干净、轻巧”的特点收获了广大用户的良好口碑。火绒企业版产品更是针对企业内外网脆弱的环节，拓展了企业对于终端管理的范围和方式，提升了产品的兼容性、易用性，最终实现更直观的将威胁可视化、让管理轻便化，充分达到保护企业信息安全的目的。
求点赞
求分享
求喜欢
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：火绒安全 火绒安全《警惕“补贴”陷阱！火绒安全揭示“银狐”远控骗局》