确认有一台办公电脑中了银狐木马之后，排查其他电脑的第一步不是全公司跑一遍杀毒，而是先把那台中招机断网保留住，从它的聊天记录和已发送邮件里取出一份"扩散名单"：攻击者用它发给了谁、发的是什么文件、什么时间发的。有了这份名单，排查就从几十台机器的盲扫变成十几个人的定点核对；没有这份名单，再怎么扫都容易漏。
这么做的原因很具体：银狐这类远控木马在办公网内的横向，主要不靠系统漏洞，而是直接接管中招者已经登录的微信、企业微信、钉钉、QQ 或 Foxmail/Outlook，向内部工作群、同事私聊、供应商群发压缩包和安装程序，常见伪装成"金税更新""电子发票""调薪明细""对账单"这类财税文件，格式多为 .zip、.rar，解开里面是 .exe、.msi 或双后缀的伪文档。发完之后攻击者还可能迅速退群、删除记录来掩盖痕迹。换句话说，谁有风险，是由通讯记录决定的。
第一步：从中招机取出扩散名单，别急着重装
中招那台机器现在有两个角色：风险源，也是唯一能告诉你扩散范围的地方。直接重装会把这些线索一起抹掉，所以顺序是先断网（拔网线、关掉 Wi-Fi）、保留现状，再取证据。关于重装前该留下哪些东西，可以参考中了银狐木马，重装系统前要先留下这四类东西。
需要记下来的信息：
- 时间窗：最早出现异常（鼠标自己动、安全软件打不开、同事说收到奇怪文件）到断网之间的时间段。后面所有排查都拿这个时间窗去比对。
- 各通讯工具的近期文件发送记录：微信/企业微信/钉钉/QQ 的聊天文件、群公告，Foxmail/Outlook 的"已发送"和草稿。
- 文件名原样记录：完整文件名、扩展名、大小。不要凭记忆写成"一个发票压缩包"，排查时要靠精确文件名去其他机器上搜。
- 群聊与退群痕迹：有没有突然退掉的群、撤回的消息。撤回的内容在接收方电脑上往往还有残留的下载文件。
如果记录已经被清掉，就只能反向问：在各个群里统一发一次问询，列出时间段，问谁收到过来自这台电脑的文件。问的时候要明确说"不要再打开、不要转发"，只要截图文件名。
第二步：按名单排一个优先级
不是所有机器的紧急程度一样，建议这个顺序：
- 收到并且点开/运行过的 —— 视为已中招处理，立即断网。
- 收到但自称没点的 —— 需要人工到机器上核实，自述不等于事实。
- 财务、出纳、开票、网管、老板和经办审批的电脑 —— 哪怕名单上没有，也要主动查。这类机器本身就是银狐的目标，可能通过别的渠道单独被投递。
- 同网段其余办公机 —— 做一轮基础核查。
第三步：每台机器查哪三类痕迹
落盘和下载痕迹
按文件创建时间排序，对照上面的时间窗，看这几个位置有没有可疑的 .exe、.dll、.msi 或双后缀文档：
- 微信/企业微信的文件接收目录（WeChat Files 下的 FileStorage）、钉钉和 QQ 的接收目录
C:\Users\Public\Downloads和各用户的 Downloads- 用户 Temp 目录（
%TEMP%） - 回收站（有人点完觉得不对就删了，但已经运行过）
- 浏览器下载历史
找到可疑文件不要双击，也不要为了"确认一下"在生产机上运行。
异常进程与安全软件状态
银狐变种普遍带免杀和反制能力：用合法的系统白文件（例如 rundll32.exe）加载恶意模块，也会主动破坏或阻止主流安全软件正常运行和更新。所以这几个现象本身就是信号：
- 安全软件莫名闪退、图标在但打不开、无法更新、被莫名退出
- 某个系统进程常驻并保持对外连接，旁边伴生没有有效签名的模块
- 空闲状态下 CPU、网络占用异常升高
- 多了陌生的远程控制软件或其静默服务（可参考电脑上自动出现陌生远程控制软件的处理顺序）
不要把"杀毒软件没报毒"当成排查结论。 没报毒的常见原因之一正是木马已经把检测环节干扰掉了。可以挨台跑一遍原厂全盘扫描和专杀，但结果只作为一项参考，不是放行依据。
持久化与自启动
看这些位置有没有不认识的条目，尤其是指向临时目录、用户目录或随机名文件的：
- 任务计划程序（Task Scheduler）里的新建任务
- 注册表 Run / RunOnce 键值
- 服务列表中名称像系统组件但描述为空的服务
- 启动文件夹、OneDrive/Startup 相关缓存目录
没有 EDR 和集中管控怎么办
很多中小办公网没有统一终端管控，这种情况下排查是"人工加网络侧"两条腿：
- 人工侧：统一一份简单问询表，固定问法——某日某时段是否收到名为 ××× 的文件、是否双击、是否解压、是否按提示点过"继续运行"。由 IT 到机器上实地核对，而不是只收口头回答。
- 网络侧：如果出口有路由、防火墙或上网行为管理能看日志，查这段时间内是否有多台内网 IP 向同一个陌生外部地址或域名保持周期性外连。这类"多台机器连同一个地方"的共性，往往比单机扫描更快圈出范围。没有日志设备的，就只能靠终端侧逐台看。
发现疑似之后：三条线分开处理
这是银狐和普通病毒清理最大的区别——清掉文件不等于解除控制。三件事要分别收尾：
主机：立即断网，保留现状，不要在接下来几小时内急着重装。如果这台机器上有 U 盾、网银证书、财务客户端，把 U 盾拔下来。
账号与会话：攻击者可能已经拿到了登录态，仅在本机改密码没有意义，甚至会被同步看到。所有凭据变更都要从一台确认干净的设备上做（例如没中招的电脑，或用手机蜂窝网络的新设备）：改密码、强制下线所有已登录设备、检查微信/钉钉的登录设备和已授权应用、检查邮箱的自动转发规则和第三方授权、重置 OA、ERP、财务后台和网银的口令。具体顺序见中了银狐木马，微信和 QQ 账号怎么处理，收尾判断见银狐木马清理后，怎么确认账号真的不再被控制。
资金：如果已经发生可疑转账或被冒充要求付款，立刻通过银行官方客服和柜面渠道核对、申请止付，并到公安机关报案，把聊天记录、转账凭证、可疑文件原件（压缩保存不要运行）完整保留。能不能追回取决于资金流向和处理时效，谁都不该在这个阶段给你保证。
什么情况自己能收尾，什么情况需要外部介入
范围清楚、只有一两台收到且没有运行、账号已经从干净设备全部清退、之后一两周内没有再出现异常外连和异地登录提醒——这种情况企业 IT 自己处理是合理的。
下面几种建议引入外部应急处置，主要是因为判断依据不在终端上了：
- 多人点开过文件，或名单里包含财务、网管、服务器管理员的机器
- 安全软件被破坏、无法安装或无法恢复正常工作
- 账号已经出现对外发送、改规则、异地登录等被操作过的痕迹，或已有资金损失需要取证材料
- 排查过程中发现有电脑文件批量改后缀、打不开 —— 这就不只是远控问题了，加密和远控要分开判断处置，可参考多台电脑同时被加密，先处理哪台
如果现在的状态是"已经有多人中招、还在往外发文件、不确定控制是否解除"，可以把上面收集到的时间窗、文件名、受影响机器清单整理好，再找银狐与远控木马的专项处置做一次完整核查；正在扩散、多机多人受影响的情况属于应急响应范畴，需要同时做主机、账号和外连三面的处置。需要提交具体事件信息时，走联系与资料提交页的要求来，不要把样本、口令或客户资料发到公开的群和上传站。
最后提醒一句操作禁忌：排查期间不要把可疑文件转发给同事"帮忙看看"，也不要为了确认再运行一次。银狐的扩散恰恰就是靠内部人之间的信任完成的。
评论(0)