摘要：今年的木马病毒界，银狐木马可谓当之无愧的“卷王”。该木马主要在QQ、微信等即时通信软件上，通过伪装成如发票、财税文件等与工作相关的文件，并利用“查_看_uninstall.exe”、“11月名单.exe”等文件名或链接，诱骗用户点击下载和执行，从而实现对目标计

今年的木马病毒界，银狐木马可谓当之无愧的“卷王”。该木马主要在QQ、微信等即时通信软件上，通过伪装成如发票、财税文件等与工作相关的文件，并利用“查_看_uninstall.exe”、“11月名单.exe”等文件名或链接，诱骗用户点击下载和执行，从而实现对目标计算机的远程控制。

在不到一年的时间里，银狐木马凭借攻击方式、攻击组件部署方式、恶意样本投递方式的连续迭代，变种频出，与杀毒软件持续对抗。就在近期，360安全大模型再次监测到一个被长期监控的银狐木马团伙更新了传播手段，对广大政企机构造成严重威胁。

瞄准Web应用上传漏洞

借用政企网站挂马为非作歹

由于很多Web应用的上传接口对图片、附件等文件的访问没有限制，攻击者可以很轻松的在网站上完成病毒上传或者挂马行为。据360安全大模型监测，KindEditor、WordPress、UEditor、ThinkPHP等数十款热门Web应用均存在此类漏洞风险，该团伙正是利用这些上传漏洞，让很多政府、企事业单位、大型国企的正规网站成为了银狐木马的“传播源”。

UEditor漏洞致某博物馆网页沦陷

UEditor是国内一款被广泛使用的Web前端编辑器，攻击者可以利用其早期版本存在的上传漏洞上传可被执行的恶意代码脚本，从而获取Web服务器的管理权限。

360监测到国内某博物馆主页便使用了带有漏洞的UEditor编辑器，这也导致了其主页在今年十月被黑客篡改并植入了银狐木马。一旦有用户访问该页面，便会执行恶意链接并跳转到某盘的木马下载共享链接，进行木马下载操作。由于该网站属于是正规网站，可信度较高，最终导致很多用户的设备遭到银狐木马的感染和控制。

用户从某博物馆页面下载银狐木马载荷

KindEditor漏洞致某科技公司受灾

另一款广受青睐的Web前端编辑器——KindEditor在某些版本中存在的上传漏洞仅允许攻击者可以上传.txt和.html文件。但因为这些文件可以嵌套暗链接或XSS攻击代码，攻击者同样可以通过构造恶意的html文件来实现跳转、钓鱼等恶意行为。

360根据大数据排查发现，某家专注于提供智慧机器人、智能控制器一体化解决方案的科技公司，产品广泛应用于航天、5G通讯、人工智能、医疗设备、轨道交通、智能卫浴、工业控制、新能源等众多领域。该公司网站由于使用了带有漏洞的KindEditor编辑器，导致在今年十月被攻击者利用挂载了银狐木马。当该公司的客户或远控访问其主页时，便会下载银狐木马到设备中。

被攻击者通过漏洞植入到服务器的恶意载荷列表

银狐木马修改注册表启动项

ThinkPHP漏洞致某直通服务平台遭殃

与上述的宽页面编辑器不同，ThinkPHP 是一个流行的PHP开发框架，但其某些版本中同样存在任意文件上传漏洞。攻击者可以利用此漏洞上传恶意脚本文件，从而获取服务器的控制权、执行任意代码，同样可能导致数据泄露、服务器被入侵等严重后果。

360发现某直通服务平台由于使用了V5.0.24版本的ThinkPHP，而非当前最新版本，导致今年十一月被挂载木马，被挂载的银狐木马同样也是通过某网盘的共享链接，下载到受害者机器中。

某直通服务平台被攻击并植入恶意下载链接

略有区别的是该链接下载到的是某正规安全终端软件，该终端提供了远程控制功能，此功能允许管理员从远程位置安全地访问和控制终端计算机，从而进行实时的监控和管理。该安全终端被银狐木马团伙恶意利用来实现对受害用户机器的入侵，从而可以控制用户机器，窃取机器信息以及进行进一步的恶意行为。

构建数字安全防御体系

360精准打击银狐威胁

不难看出，该轮银狐木马瞄准的对象大多为政企正规网站，该类网站一般都会受到聊天软件、安全软件，以及相关用户的高度信任，导致传播范围、影响力度再度升级。鉴于近期的银狐木马攻击事件，360建议广大政企机构应尽快构建更加体系化、实战化、智能化的数字安全防御体系。

来源：360亿方云