如果你刚在群里双击了「XX季度违纪名单」「违纪通报信息」这类文件，并且怀疑中了银狐木马，按下面的顺序动手，查杀和重装排在最后：
- 先断网：拔网线、关掉 Wi-Fi 和蓝牙。电脑暂时别关机、别格式化、别急着重装。
- 换一台可信设备处理账号：用手机（走移动流量更稳妥）把微信、QQ、钉钉、企业微信里所有 PC 端登录强制下线，然后改密码、开二次验证。
- 如果这是财务或出纳电脑：立刻拔掉网银 U 盾等硬件密钥，暂停当天的支付和审批。
- 通知群里和同事：用电话、短信或手机上另发通知，告诉大家「我电脑疑似中毒，我发的文件别点」。
- 最后再处理这台机器本身：排查持久化残留，或者直接重装。
下面解释每一步的判断依据，以及哪些情况你自己能收尾、哪些不能。
先确认你是不是真的「运行」了它
这类投递的典型形态是：群里发一个压缩包（.zip / .rar），解压后是 .exe、.msi、.scr 或 .lnk 快捷方式，图标被伪装成 PDF 或 Word。所以判断的关键不是「我点了」，而是「我双击到哪一步」：
- 只下载、没解压，或解压了没双击里面的程序——风险明显低，但仍建议按下一篇说的做一次检查。
- 双击后没反应、闪一下就没了、或提示「文件损坏」「版本不支持」——这恰恰是诱饵程序的典型表现，它在后台静默投放了载荷，应当按已中招处理。
- 双击后真的用阅读器打开了一份内容正常的 PDF/DOCX，相对安全，但不等于零风险。关于这种「看着没异常」的情况该查什么，可以看打开可疑附件但电脑没异常，还要检查吗。
断网为什么排第一，又为什么先别关机
银狐这类远控木马运行后会回联控制端，攻击者可以看你的屏幕、记录击键、取走文件，还能拿这台机器当跳板扫内网。断网是唯一能立刻切断这些通道的动作，比任何扫描都快。
不建议马上格式化或重装，是因为计划任务、服务项、落地文件路径、外联记录这些痕迹，是后面判断「什么时候进来的、碰了哪些资料、有没有扩散到别的机器」的依据——尤其当公司需要内部通报或报案材料时。
但这不是「绝对不能关机」。如果你没法可靠地断网（比如人不在机器旁、无线网卡关不掉、这是台远程服务器），那么断电优先于让它继续联网。能隔离就隔离，不能隔离再断电。
账号和会话必须在另一台设备上处理
这台电脑此刻仍可能在记录键盘和屏幕。在它上面输入新密码，等于把新密码直接交出去。
顺序也有讲究：先在手机端的「登录设备管理 / 安全中心」把 PC 端会话强制下线，再改密码。只改密码不下线，已经建立的会话有可能还活着。
需要过一遍的范围通常包括：即时通讯、企业邮箱、OA、ERP / 业务系统、网银和第三方支付、远程桌面和 VPN 账号，以及浏览器里保存过的那些密码。完整清单和优先级在发现银狐木马后需要修改哪些账号密码里写得更细。
财务岗要多做的几件事
针对财务人员的冒充领导转账，是这类木马最直接的变现方式——攻击者会先潜伏着看完你和领导的沟通习惯，再挑时机下指令。
- 拔掉 U 盾/密钥，当天的网银审批和付款先挂起。
- 把近期所有「领导要求转账」的指令重新核对一遍，用电话或当面核，不要在聊天工具里确认，那条通道可能已经不可信。
- 如果已经发生异常转账：第一时间打银行官方客服申请紧急止付/冻结，同时向属地公安反诈报案，并保留聊天记录、转账回单、原始文件和时间线。能否追回取决于资金流向和时间，没有人能向你承诺结果，但越早联系银行和警方，可操作的空间越大。
具体到网银该怎么处置，可以看财务电脑中了银狐木马，网银怎么办。
别省掉群内预警
这类木马常常利用你已登录的账号，在你不操作的时候主动向工作群和联系人转发同名文件，甚至自己建群拉人。很多单位的「一群人同时中招」就是这么来的。
所以通知要用别的渠道发出去，并顺手检查你的账号里有没有你没建过的群、没发过的消息记录。如果你是群管理员，提醒其他管理员一起撤回和清理。
杀软全盘扫描没报毒，不能当成「没事」
变种迭代很快，常见手法包括无文件执行、白加黑 DLL 劫持、驱动层对抗，有些还会篡改安全软件的白名单或信任设置。扫描无结果，可能是真没事，也可能只是没检出。
手工值得看几个地方：任务计划程序里最近新增的任务、新增的服务项、启动目录和注册表自启动项、近期新建的本地用户账号、以及重新联网后是否还有可疑外联。看到可疑项先截图记录，再动手删。
结论性的建议：对关键办公电脑和生产机器，与其靠反复查杀确认干净，不如备份必要的非可执行文档（doc、xls、pdf 等，不要带上 exe、lnk、bat、快捷方式和来路不明的安装包）后重装系统。重装后记得在干净环境里再确认一次账号没有异常登录。关于重装与继续使用的取舍，银狐木马清除后电脑还能继续用吗分设备给了更具体的结论。
顺便确认有没有伴随文件加密
银狐属于远控木马，核心风险是账号、数据和资金，不是文件加密。但同一次入侵后续投放勒索程序的情况也存在。花一分钟确认一下：文件后缀有没有被统一改掉、桌面或各目录里有没有多出勒索信（txt/html/hta）。
如果有，那是另一套处置逻辑——停止向受影响磁盘写入、不要在唯一原件上反复跑各种解密工具、先判断家族和可恢复性再决定路径，可以参考家族识别与可恢复性判断。两类问题要分开处理，清掉木马不等于文件能还原。
哪些情况可以自己收尾，哪些建议找人
基本可以自己收尾：单台个人办公机、不涉及资金和财务系统、没有域环境和共享盘、会话已全部下线并改密、机器已重装、重装后观察无异常。
建议专业介入：
- 群里有多人、多台机器打开了同一个文件，或已出现跨机器的异常登录；
- 涉及财务、网银、业务账套，或已发生可疑转账；
- 中招的是服务器、域控，或这台机器能访问服务器和共享盘；
- 重装后仍有异常外联、账号仍在异地登录；
- 单位需要事件说明、时间线或取证材料。
这几种情况下，风险往往已经不只在这一台电脑上，账号层面和内网层面要分别排查。需要针对具体情况判断时，可以看银狐与远控木马的处置说明，或者在仍在扩散、多人受影响时直接走应急处置沟通。提交材料时注意：不要把生产密码、客户资料或可疑的可执行文件丢到公开评论区或任意上传站。
最后提醒一句时间顺序上的常见错误——很多人第一反应是打开杀软全盘扫描，扫描要跑二十分钟，而这二十分钟里网线还插着、微信还登着、U 盾还插在机箱上。先断掉通道，再慢慢查。
评论(0)