中了银狐木马怎么办？怎么查杀？

银狐是源自 Gh0st RAT 的远控木马家族，不加密文件、不留勒索信，靠长期潜伏冒用受害者的电脑和账号实施转账诈骗；它是什么、与勒索病毒有何不同、攻击链怎么演进，见银狐木马专项页。这里只讲自查。

普通员工能看到的信号（出现任何一条，都按疑似中招处理）：

• 微信、QQ 好友莫名消失或新增，出现自己没建的群，消息显示已读但本人没看过；
• 群里的「领导」「老板」换了账号，却在要求加急转账或变更收款账号；
• 收到异地登录提醒，或收到自己并未触发的短信验证码；
• 网银、证券有非本人操作的记录；
• 安全软件突然被关闭、打不开或不再更新；
• 最近打开过临时工作群或邮件里的压缩包，文件名带「违纪」「通报」「裁员」「补偿」「稽查」「发票」；或者从搜索结果而不是官网下载安装过 WPS、Chrome、向日葵、DeepSeek、Teams 等软件。

IT 人员可以进一步核查的主机与网络特征：

打开 Windows 的「显示文件扩展名」再看最近收到的文件：图标是文件夹或快捷方式、扩展名却是 .exe / .scr / .lnk 的，基本可以确定是诱饵。拿不准的压缩包或可执行文件，可以按国家计算机病毒应急处理中心的建议上传到国家计算机病毒协同分析平台（https://virus.cverc.org.cn）检测。

需要强调：这些信号只能证明「有问题」，查不到不能证明「没问题」。 银狐变种迭代很快，最终判定要靠取证。

截至 2026 年 9 月，我们核实到以下厂商公开提供了针对银狐的查杀工具或功能，只从厂商官网或官方渠道获取：

这些工具有用，但要放在正确的位置上：

• 先取证，再查杀。 工具清除的正是取证需要的样本与驻留痕迹。涉及资金损失或多台电脑时，先保全内存与磁盘，再运行工具。
• 当作初筛，而不是结论。 Check Point 2025 年 12 月拆解 ValleyRAT（银狐常用载荷）生成器时发现，其内核 rootkit 驱动在初始化时会自动强制删除数十个安全软件驱动，涉及 360、火绒、腾讯、金山、卡巴斯基等厂商，还能隐藏文件、目录与注册表项。工具可能还没运行就被废掉，或者看不到被隐藏的东西。
• 合法管理软件杀软不报。 360 记录过银狐利用 ip-guard、固信终端安全、阳途终端安全等管理软件在系统中长期驻留。这些是正规商业软件，只能对照企业自己的软件台账判断。
• 警惕假工具。 360 在 2025 年 6 月披露，银狐把木马伪装成「最新查杀防护」工具，甚至用「防范银狐木马」做文件名。群里转发的「专杀工具」一律不要运行。

工具报毒并清除成功，只说明发现并处理了一个组件；这台电脑还能不能信任，是下一个问题。

因为「已经清干净」无法被证明，而近年的银狐相关变种恰恰在内核层做文章。Check Point 2025 年 12 月的《Cracking ValleyRAT》记录了三点：

• 驱动级驻留。 rootkit 驱动以名为 kernelquick 的内核服务安装，并可把启动方式从按需加载改为随系统启动；它能从内核向用户态进程注入 shellcode，也能绕过文件锁强制删除文件。
• 防护挡不住加载。 其中几个驱动没有被 Microsoft Defender 正确检出，也不在最新版微软易受攻击驱动阻止列表里，在补丁打全、开启 HVCI 与安全启动的 Windows 11 上仍能加载。
• 自我隐藏。 驱动支持隐藏文件、目录与注册表项，排查时看到的系统未必是真实的系统。

再加上被静默安装的合法管理软件、计划任务、服务、.NET GAC 劫持等多种驻留形态（见专项页攻击链），任何一处漏掉，攻击者都能回来。相比之下，重装的成本是确定的，往往也比逐项排查更省事。建议做法：

1. 取证在前。 重装会抹掉判定外泄范围、向银行和警方举证的依据。
2. 只拷数据，不拷程序。 文档、表格、图片等数据文件拷出后先在干净电脑上扫描；exe、脚本、快捷方式、安装包与来路不明的压缩包一律不拷。
3. 格式化系统盘后全新安装。 不要恢复到来历不明的系统镜像或 Ghost 备份，除非能证明它早于入侵时间。
4. 先加固，再联网办公。 打好补丁、装好安全软件、启用微软易受攻击驱动阻止列表，日常账号不用本地管理员，付款电脑不再用来收文件和登录社交软件。

重装只解决这一台电脑；账号、资金和其他电脑要同步处理，入口与流程不改，再中一次只是时间问题，加固思路见安全加固。

银狐很少只落在一台电脑上。建议两头同时查：

从投放渠道倒推。 那个文件是谁发的、发在哪个群、群里有多少人、谁点开过？如果入口是仿冒下载站，查还有谁从同一个域名下载过软件。这份名单就是第一批重点排查的电脑。

从特征正推。 以中招电脑取证得到的文件哈希、落地路径、服务名、计划任务名、域名与 IP 为基线，在全部终端上比对；在出口防火墙、上网行为管理和 DNS 日志里查还有哪些电脑连过同一个回连地址。暂时没有取证结果时，至少按上文的主机与网络特征逐台核查。

顺手查三件事：

• 安全软件健康度：哪些电脑的防护被关闭、离线或长期未更新——这本身就是失陷信号；
• 远控与管理软件台账：对照企业自己采购部署的清单，找出没人认领的远程协助、远控与终端管理软件；
• 账号可达范围：中招电脑上登录过的账号能访问哪些共享盘、ERP 与服务器，这些系统的登录日志一并核查。

厂商专杀工具适合在每台电脑上做初筛，但发现问题后先断网隔离、上报，不要当场一键清除和重启，由处置人员统一判断。排查期间可以临时收紧办公电脑对文件服务器与 ERP 的写权限，防止事态扩大。终端多、缺少 EDR 或日志时，用统一的 IOC 批量排查更快，也更不容易漏。

有这个风险。银狐更接近「初始访问」：360 在 2025 年 12 月 11 日披露的攻击中，银狐落地后继续下载执行 LockBit 5.0 加密文件。所以中招电脑接触过的文件服务器、ERP、数据库与备份都要按「勒索前置」排查：有没有被投放加密程序、卷影副本是否被删、备份能否正常还原。一旦已经出现文件被改后缀、出现勒索信，处置思路要切换到中了勒索病毒怎么办：先隔离、保全，不要重装。

出现以下任一情况，建议尽快联系专业应急团队：

• 已经发生资金损失，需要给警方和银行的技术证据；
• 中招的是财务、出纳、人事、运维或老板本人的电脑，或者这台电脑保存着服务器、网银、云平台的凭据；
• 不止一台电脑中招，或者说不清有几台；
• 安全软件被关闭、专杀工具运行失败，或者发现了没人认领的远控软件；
• 被冒用的账号已经向客户、供应商发过消息或文件，需要判断数据外泄范围与对外沟通口径；
• 已经出现文件加密迹象。

舍末无勒 7×24 接警，远程先行、必要时到场。应急响应负责止损、排查与清除；溯源取证输出时间线、入侵入口、失陷资产与 IOC 清单，可作为报案时提交的技术材料，报案材料怎么准备可参考怎么报警。资金追回属于司法与金融流程，我们配合取证与举证，不代为谈判、不承诺追回结果。初步沟通与研判不收费，需要时请联系我们。