自春节假期结束后，微步情报局监测到银狐攻击活动全面复活。3月，银狐已恢复到年前的活跃度，全月微步情报局捕获的新变种达500+，发现大量从去年下半年至今数次迭代的攻击手法，传播范围和对抗强度或已超越去年最高水平。迭代手法包括：

手法1，大量仿冒电子税务平台，虚假弹窗：

攻击者利用上百个空壳公司注册钓鱼域名，可快速变更所属钓鱼网站域名，防止被拦截。这些网站主要仿冒电子税务平台，通过“系统版本过低”虚假弹窗，诱导用户下载银狐木马。

手法2，用户态致盲EDR，干扰检测：

与去年9月微步披露的同源样本相比，今年3月攻击者放弃了白加黑加载本地bin文件，而是从远端服务器下载shellcode，并使用Unhooking技术在用户态致盲EDR。目前，这批样本最新变种数量已接近200个，C2超过20个，是财税、违纪名单钓鱼中最流行的样本。

手法3，自行编写驱动，直接关闭杀软EDR：

去年10月，微步捕获了一批多Rootkit加持的银狐样本。今年3月，攻击者最新样本不再依赖现有驱动，开始自行编写驱动程序，绕过微软黑名单拦截，可关闭360、火绒、腾讯电脑管家、金山毒霸等11种杀软和EDR进程。综合来看，这批样本的对抗复杂度最高。

根据微步发布的《黑产“银狐”2025年度防治报告》，被拉群攻击的企业中有93.19%在黑产拉群前对攻击毫无感知，足以证明持续迭代的对抗手法可以轻松绕过现有防护体系，需要用户高度重视。

目前，微步终端安全管理平台OneSEC、云沙箱S、沙箱分析平台OneSandbox均已支持所有样本的精确检测。