在当前复杂多变的网络安全环境中,各类恶意木马层出不穷,其中“银狐”木马因其成熟的黑产运作模式和严重的危害程度,成为备受关注的焦点威胁。该黑产团伙自2021年崛起至今,已完成从“单一投毒团伙”到“成熟黑产生态”的转型,其攻击链具备高度模块化与商品化特征,善于利用社会热点与搜索引擎投毒发起攻击。
近期,启明星辰安全研究团队再次发现一例银狐木马病毒新变种,该变种通过搜索引擎SEO技术投毒,伪装成“快连”等正常应用软件安装包迷惑用户点击执行。与其他同类样本相比,新变种开始在流量加密层面进行检测对抗技术的升级,通过增加密钥协商环节,使通信流量呈现更高的随机性和不可预测性,从而规避传统基于特征或固定密钥的检测手段。
为应对持续演进的银狐木马威胁,启明星辰构建了覆盖“通信流量精准识别—网端联动立体封堵—泄密数据深度复原—攻击过程全链闭环—威胁情报全域感知”的多级纵深防御体系。该体系依托部署在网络边界的天阗高级威胁检测与分析系统(TAR)、超融合检测探针(CSP)及天清入侵防御系统(IPS),精准识别并阻断银狐木马的C2通信;通过天珣端点威胁检测防护与管理系统(EDR)实现终端精准查杀;借助天阗全流量分析取证系统(NFT)的流量回溯与深度解密能力,还原被窃数据原貌并评估泄露影响;最终由安星威胁检测智能体赋能的天阗高级持续性威胁检测与管理系统(XDR),自动完成攻击链还原、威胁狩猎与报告生成。
为全面提升产品侧对银狐木马的防御能力,启明星辰VenusEye威胁情报中心已正式发布银狐专项离线情报库,并同步提供情报云查API服务。目前,启明星辰XDR、CSP、EDR、TAR、NFT等产品均已集成该离线库;情报云查API可为联网环境下的CSP提供实时情报查询能力,有效识别银狐木马相关最新域名与IP。通过“离线库+云查API”的协同机制,确保各类产品在不同网络环境下均能持续高效防御银狐木马。
