自春節假期結束後，微步情報局監測到銀狐攻擊活動全面復活。 3月,銀狐已恢復到年前的活躍度,全月微步情報局捕獲的新變種達500 ,發現大量從去年下半年至今數次迭代的攻擊手法,傳播範圍和對抗強度或已超越去年最高水平。 迭代手法包括:

手法1,大量仿冒電子稅務平台,虛假彈窗:

攻擊者利用上百個空殼公司註冊釣魚域名,可快速變更所屬釣魚網站域名,防止被攔截。 這些網站主要仿冒電子稅務平台,通過「系統版本過低」虛假彈窗,誘導用戶下載銀狐木馬。

手法2,用戶態致盲EDR,干擾檢測:

與去年9月微步披露的同源樣本相比,今年3月攻擊者放棄了白加黑加載本地bin文件,而是從遠端服務器下載shellcode,並使用Unhooking技術在用戶態致盲EDR。 目前,這批樣本最新變種數量已接近200個,c2超過20個,是財稅、違紀名單釣魚中最流行的樣本。

手法3,自行編寫驅動,直接關閉殺軟EDR:

去年10月,微步捕獲了一批多Rootkit加持的銀狐樣本。 今年3月,攻擊者最新樣本不再依賴現有驅動,開始自行編寫驅動程序,繞過微軟黑名單攔截,可關閉360、火絨、騰訊電腦管家、金山毒霸等11種殺軟和EDR進程。 綜合來看,這批樣本的對抗複雜度最高。

根據微步發布的《黑產「銀狐」2025年度防治報告》,被拉群攻擊的企業中有93.19%在黑產拉群前對攻擊毫無感知,足以證明持續迭代的對抗手法可以輕鬆繞過現有防護體系,需要用戶高度重視。

目前,微步終端安全管理平台OneSEC、雲沙箱S、沙箱分析平台OneSandbox均已支持所有樣本的精確檢測。