终端中了“银狐“木马怎么办？一线应急处置三步闭环（附 IOC/IOA 速查 + 专杀工具清单，取证版/快清版双路线）

终端中了"银狐"木马怎么办？一线应急处置三步闭环（附 IOC/IOA 速查 + 专杀工具清单，取证版/快清版双路线）

摘要：这是一次真实发生的"银狐"木马终端感染事件的处置复盘。核心给出可复用的三步闭环 SOP——断网溯源 → 本机取证 → 复验，并列出 5 条"严禁省略"的正规动作。适合安全运维、等保护网一线。

适用范围与阅读导航

本文适用两类读者：

• A 类（企业 / 等保单位，需完整取证）：涉及追责、审计或重大事件，要求保留完整证据链 → 请按全文「断网溯源 → 本机取证 → 复验」三步闭环逐步操作。
• B 类（只想快速清除威胁）：个人终端或临时处置，不做取证、只要把毒清掉 →直接跳到「清除（以最快清除为目标）」一节即可；清前仍建议先断网隔离。

本文定位：本文是应急处置的「流程索引与方法指南」，提供思路、命令与判断逻辑，不附带任何脚本文件或专杀工具安装包。作者暂未随文上传脚本 / 工具附件（尚不熟悉平台附件上传流程），文中专杀工具请前往各自官网下载正版；如需自动化脚本，建议基于文中命令行自行编写，或在官方社区获取。

重要：取证必须在清除之前完成。若你属于 B 类跳过取证，意味着放弃证据留存，仅适用于"不求追责、只求清毒"的场景；一旦后续需要追责将无法回溯。

0. 脱敏说明

本文基于一次真实企业内网终端感染"银狐"木马事件整理改写，用于技术交流。文中内网 IP、C2 地址、恶意域名、样本名均已做脱敏或泛化处理（C2 与下载域名采用示例/保留地址，仅保留端口、协议、行为特征等可用于复用的技术信息）。请勿将示例值当作可拦截的真实 IOC 直接使用，需以你单位实际捕获的样本情报为准。配图均使用脱敏后的截图，关键日志另以脱敏表格逐行呈现于正文相应位置。

速判版（赶时间看这里）

终端疑似中招，先别急着格式化重装，30 秒定性：

1. 看来源：近期是否访问过"仿冒官网/下载站"（域名长得像正规软件站，但拼写有细微差异），并下载运行了未签名程序
2. 看持久化：任务计划程序里有没有非你自己建的、注册时间集中在某个"几分钟窗口"的奇怪任务
3. 看外联：netstat -ano有没有连向非常规高位端口（如 1xxxx、2xxxx 段）的可疑 TCP 会话

满足 1+2+3 → 高度疑似银狐类 RAT，按下面三步闭环处置，先取证再清理。

口诀：取证顺序不可反——先溯源与取证，再清理，最后复验。终端实时痕迹（内存、运行连接）清理后会消失，取证务必在清理前完成，或提前做好镜像。

1. 事件背景与 IOC 速查

本次事件为某企业下属单位终端感染"银狐"木马：受害终端访问仿冒下载站，下载并运行恶意样本后回连 C2，已被集团与本地防火墙联动封堵。处置以"断网溯源 → 本机取证 → 复验"三步闭环推进。

说明：下载站来源需靠上网行为管理（AC）的 URL 日志、文件Zone.Identifier、浏览器下载记录三路确认，并非单从防火墙 C2 记录推出。

📌 知识点补充：什么是 IOC 与 IOA

本文反复出现"IOC"一词，这里统一厘清，并顺带讲清常与它成对出现的IOA。

IOC（Indicator of Compromise，失陷指标）：它不是病毒本体，而是木马在主机或网络上留下的"案发现场痕迹"。看到这些痕迹，就能高度断定机器已中招，不必非得抓到木马本体。

按"连谁 / 落了什么 / 干了什么"，IOC 通常分三类：

IOA（Indicator of Attack，攻击指标）：与 IOC 互补——IOC 看"已发生的痕迹"（事后取证），IOA 看"正在发生的动作"（事中检测）。本文"6 分钟投放窗口 + 几分钟内批量注册计划任务"就是典型的 IOA 思维：不依赖某个具体哈希，而是识别攻击的"行为模式"。

两个实务要点：

1. IOC 会过期，行为更稳定：C2 的 IP/域名一天能换好几个，哈希随样本变种也会变；唯独"连非常规高位端口 + 几分钟内批量注册计划任务"这类行为特征长期有效。这也正是本文反复提醒"请勿将示例值当作可拦截的真实 IOC 直接使用"的原因——封 IP 不如盯行为。
2. 脱敏边界就在 IOC 上：恶意 IOC（C2、恶意域名、样本哈希）属于威胁情报，公开共享才有价值，图3 保留bakfw.com等真实 IOC 即出于此。

图1｜出口防火墙 / 态势感知告警（脱敏数据表）：平台按"目的 IP(=C2) + 非常规端口(18300)"命中出站回连。下表由真实处置截图逐行脱敏提取（源/目的 IP、安全区域、策略名已泛化）。

[内网终端] 192.168.x.78 : 60991 │ │ TCP 出站 ▼ [出口防火墙 / 态势感知] ← 命中：目的IP = C2，端口 18300（非常规高位端口） │ │ 动作：允许 ← 封堵生效前 ▼ [公网 C2] 203.0.113.90 : 18300

要点：封堵生效前，受害终端在约 11 分钟内连续 4 次回连 C2:18300，动作均为"允许"——这正是第一步"断网溯源"要顺藤摸瓜的线索：从出口防火墙按"目的 IP = C2 + 非常规端口"反查，锁定内网受害终端，而不是先在本机乱找。同时印证了正文"最初的允许说明首次 C2 已连上"的时间线。

2. 三步闭环处置流程

断网溯源 → 本机取证 → 复验

第一步：断网溯源（出口防火墙 + AC + 浏览器历史/下载记录）

目标：锁定受害终端与下载来源，并立即断网隔离，防止扩散与证据灭失。

• 立即断网隔离：拔网线最稳；或用 EDR 一键隔离、交换机端口shutdown。同时边界防火墙把 C2 与恶意域名先封掉。
• 出口防火墙溯源：按"目的 IP = C2""非常规端口（如 18300）"或"源 IP + 时间段"反查，锁定内网受害终端。
• 上网行为管理（AC）溯源：按源 IP + 下载时间段过滤，查 URL/域名列，确认访问了哪个下载站、下了什么文件。

图2｜上网行为管理（AC）审计日志（脱敏数据表）：按源 IP 维度把终端的全部外联拉成清单。下表由真实处置截图逐行脱敏提取（源 IP、单位/部门名、真实公网 IP 与业务域名均已泛化，仅保留应用类别与异常特征）；原截图共 2428 条记录，下表为代表性节选，并按「异常 / 正常业务」分组呈现。

① 异常外联（重点关注）

② 正常业务（应排除，勿误判为 IOC）

要点：这是"断网溯源"里 AC 溯源一节的真实日志（脱敏后）——按源 IP 维度把终端的所有外联（含正常业务与异常 C2）拉成清单。第一步正是从这里反向定位"哪台终端在异常时段连了什么"：异常集中在连向形近正规站点的仿冒域名（如login.example-mal.com仿 WPS、watson.events.data.example-mal.com仿 MS）与非常规高位端口，而微信/WPS 等正常办公流量应排除，不误判为 IOC。再结合防火墙 C2 告警即可锁定受害主机。

• 浏览器历史与下载记录：在本机打开chrome://downloads或历史记录，按时间排序，找到访问的陌生域名与下载的样本文件，确认几点访问、从哪下载。

第二步：直接在本机取证（行为取证 + 静态取证）

目标：确认样本与持久化，记录证据，再清除。重点是"只读、不运行样本"。

• 行为取证（看运行态）：用netstat/ Process Hacker 看是否仍有 C2 外联；用 Autoruns 看启动项与计划任务；看注册表Run项、可疑进程路径与网络连接。
• 静态取证（只读，不运行样本）：
  • 对可疑文件算 SHA256、查数字签名（均 NotSigned）；
  • 读Zone.Identifier确认下载来源（HostUrl/ReferrerUrl）；
  • 查 Prefetch 里SETUP.EXE运行时间、事件日志 106 看计划任务注册时间，串出时间线；
  • 检查image.png/thumbs.db的隐藏+系统属性。

读图：一张图串起静态取证四步——①Zone.Identifier溯源（HostUrl/ReferrerUrl）→ ② 哈希+签名（NotSigned 是关键恶意特征）→ ③ 时间戳交叉验证（下载→解压→运行→注册任务，6 分钟连锁闭环=铁证）→ ④ 架构分析（自解压包释放 SETUP.EXE，伪装载荷设 Hidden+System）。这一步做完，样本从哪来、怎么活、何时落地，全部坐实。

清除（以最快清除为目标）

思路：清除阶段以"先用专杀工具自动化扫杀为主体"，手动命令行作为补充兜底（尤其当专杀工具打不开、被杀软环境干扰时）。取证已在清除前完成，此处目标就是用最短时间把威胁清干净。

1. 首选：专杀工具自动化扫杀（主体）

推荐几款对银狐 / 类 RAT 顽固木马有效的专杀工具，按"易用 → 强扫"排序：

用法：断网隔离状态下，任选 1~2 款全盘扫描（工具均从官网下载正版，本文不提供安装包）；单款说"已清除"不可信，建议火绒 + 360 急救箱（或 KVRT）交替扫两轮。

2. 注意事项：专杀工具打不开 / 被杀怎么办

银狐类木马常会阻止安全软件运行（结束进程、劫持映像、篡改系统），表现为火绒 / 某卫士"点了没反应"“一开就退”。此时用现有工具兜底：

• 改名运行：把专杀 exe 改名为任意名字（如a.exe、sysfix.exe）再双击，可绕过进程名劫持。
• 进安全模式（带网络）：重启进"安全模式"，在最小环境里跑专杀，多数自启动型木马此时无法加载。
• 换独立离线工具：用 KVRT、Defender 离线版这类不依赖本机已装杀软的绿色 / 启动盘工具，绕开被破坏的防护。
• 命令行兜底（见第 3 部分）：当图形化工具有效性受限时，直接上命令行手动清，它不依赖任何第三方软件，是最后的保底手段。

3. 补充：命令行手动清（工具不可用时的保底）

当专杀工具全部打不开、或需精准清除某个已知入口时，用命令行手动清。核心是"载荷 + 持久化入口 + 伪装文件 + 网络篡改 配套一起清"：

1. 结束恶意进程（行为层）：tasklist | findstr SETUP.EXE定位 PID →taskkill /PID <PID> /F；若被杀即复活，先去第 3 步删持久化再回来杀。
2. 删除伪装文件（文件层）：attrib -h -s "C:\路径\image.png"去属性 →del /f删除（thumbs.db同理）；删前先复制到隔离盘留证。
3. 清除持久化入口（防复活最关键）：schtasks /query /fo LIST定位异常任务 →schtasks /delete /tn "<任务名>" /f；reg query/reg delete清理HKCU\...\Run与HKLM\...\Run异常项；顺查启动文件夹、可疑服务、WMI 订阅、IFEO。
4. 清除主体样本与释放物：删install.g.0.04.zip、SETUP.EXE及其释放目录、同名 / 随机名 DLL。
5. 修复网络篡改：记事本清理C:\Windows\System32\drivers\etc\hosts恶意行；netsh interface ip set dns "以太网" dhcp恢复 DNS →ipconfig /flushdns。

关键：先哈希后删除，记录路径与哈希写报告。loader、主体、伪装载荷、计划任务、Run项要配套一起清，只删一个文件重启后又会拉起。清除必须在取证完成、且已断网隔离状态下做；切勿双击运行样本"验证"，用哈希 / 签名 / Zone.Identifier 静态确认即可。

第三步：复验

目标：确认无复活、无残留、无回连，出报告归档。

• 重启验证：重启后复查进程、启动项、计划任务、C2 外联、残留文件，确认无"复活"。
• 多工具交叉查杀：火绒、360 系统急救箱、Windows Defender、卡巴斯基 / ESET 轮流全盘扫（单款说干净不可信）。

3. 严禁省略的正规动作（标准化闭环要求）

本三步流程为快速处置版。若涉及追责、审计或重大事件，标准化流程还要求以下动作，严禁省略：

1. 动态取证沙箱：须在隔离虚拟机（断网快照）中运行样本，捕获释放行为、注册计划任务与 C2 通信，复现完整攻击行为。
2. 样本光盘 / 镜像备份：须对原始样本、磁盘镜像、内存镜像做独立只读备份（光盘或隔离存储），作为证据链留存，不可只留终端清理后的状态。
3. 严禁在本机双击运行病毒样本，防止自我感染与证据污染。
4. 严禁只靠单款杀软判定已清除，必须多引擎交叉验证。
5. 严禁不清 DNS 劫持 / hosts 篡改就恢复网络；严禁不取证直接格式化或重装系统，导致证据灭失。

4. 关键提醒（认知提升）

• 取证顺序不可反：先溯源与取证，再清理，最后复验。
• 集团封堵在前、本地补封在后：日志中"拒绝"出现在封堵生效之后；最初的"允许"说明首次 C2 已连上——这条时间线在报告里要写清楚，否则容易被误读成"没拦住"。
• 终端实时痕迹会消失：内存、运行连接在清理后就没了，故取证务必在清理前完成，或提前做好镜像。

标签：#银狐木马#应急处置#威胁溯源#等保测评#护网#恶意代码分析#安全运维复盘

配图说明：本文素材均取自真实处置过程。图1、图2 已不使用原截图，改为脱敏数据表 + 文字示意图呈现（原截图含真实内网 IP、C2 地址、单位/部门名称与业务域名，逐行脱敏后提取，技术含义不变）；图3（样本install.g.0.04.zip分析全过程）中的bakfw.com等域名为真实样本 IOC，请自行核验后再加入黑名单，勿直接照搬。所有示例 IOC 仅保留端口、协议、行为特征等可复用技术信息，请勿直接当作可拦截的真实情报使用。