首页 ›
行业文章 ›
解读“银狐”木马“镜昙（G02）”团伙攻击报告
解读“银狐”木马“镜昙（G02）”团伙攻击报告
云豆信息科技2026-10-27阅读约 4 分钟
近期 CNCERT 与启明星辰披露了银狐木马的全新分支「镜昙（G02）」：它借搜索引擎 SEO 污染与仿冒下载站传播，用镜像文件投毒，并可在预设时间后自动“消失”。本文拆解它的攻击手法与防范要点。
一、事件概述：一次“昙花一现”的定向攻击
在“银狐”木马专项工作中，国家互联网应急中心（CNCERT）联合启明星辰监测发现了一个全新的银狐攻击分支——代号“镜昙（G02）”。该团伙利用搜索引擎 SEO 污染、仿冒软件下载站等渠道传播木马，并以镜像文件为投毒载体；恶意程序还会在预设时间后自动终止，攻击呈现“昙花一现”的特征。相比银狐历史分支，镜昙在载荷形式、配置加密、加载架构和攻击时间控制上做了多维升级，隐蔽性与可控性明显增强。
据报告披露，2026 年 7 月 17 日至 10 月 20 日期间，该团伙累计控制设备 5834 台，单日上线被控客户端峰值 252 台，C2 服务器单日访问峰值约 72.78 万次。经专项打击，近期控制规模已整体下降。
说明：本文基于 CNCERT 与启明星辰公开发布的《“银狐”木马“镜昙（G02）”团伙攻击态势深入分析报告》进行解读，目的是帮助企业与财务人员建立防范意识。文中所有技术指标均用于“识别与防护”，而非复现攻击。
二、团伙画像：谁是“镜昙”，它盯上了谁
| 维度 | 关键信息 |
|---|
| 团伙名称 | “镜昙”团伙（银狐攻击生态下的独立新分支） |
| 最早活动时间 | 2026 年 7 月下旬（约 7 月 22 日），9 月进入集中爆发期 |
| 主要攻击目标 | 中文背景用户（简体/繁体并存）；行业聚焦金融、财务、银行、税务 |
| 主要传播渠道 | 搜索引擎 SEO 引流 + 仿冒软件下载站、第三方对象存储桶直链下发镜像（仿冒企业办公/税务/银行对账类软件） |
| 主要恶意功能 | 远程控制与信息窃取 |
“镜昙”这个名字来自两个特征：一是以镜像类文件作为初始攻击载体；二是攻击时间可定制，到达设定日期后停止执行恶意行为，呈现“昙花一现”的特点。
三、四大技术升级：为什么比以前更隐蔽
相比银狐既往分支，镜昙完成了一次较全面的技术迭代：
- 恶意载荷投递革新：放弃传统的 MSI/NSIS/Inno Setup 封装 EXE，改用 IMG、ISO、VHD 镜像文件作为核心载体。镜像文件能规避主流杀软对 EXE 的静态检测，提高载荷落地成功率。
- 配置加密强度提升：从“简单逆序硬编码”升级为“逆序 → 加密 → 逆序”的三重混淆，极大增加了提取与解密配置信息的难度。
- 配置存储与加载重构：抛弃硬编码，将配置与 shellcode 合并整体加密后独立存放，运行时由独立解密模块解密并执行，再把参数传给 winos 木马主体，规避静态特征提取。
- 攻击时间可控（失活机制）：在配置中内置专属失活时间，到时间后恶意程序自动停止核心行为并退出，既提升攻击者可控性，又规避长期驻留带来的溯源风险。
四、一条完整攻击链（以样本 AMD.0903002123.img 为例）
- 传播入口：攻击者注册仿冒域名，搭建名为“星河科技软件下载中心”的钓鱼站，并通过 SEO 污染让必应等搜索结果靠前，诱导用户访问下载。
- 跳转与下载：钓鱼页提供形如 tax-documentsXX 的下载链接（XX 为数字，便于批量换版本）。诱饵多以“税务文件、对账单据、采购订单、逾期对账单”等财税主题命名（如 tax-documents1.zip、Bank Statement.zip）。
- 解压即镜像：下载的 ZIP 解压后得到恶意 IMG/ISO/VHD 文件，规避对 EXE 的静态扫描。
- 白加黑执行：镜像内包含一个合法程序（如 AMD.0903002123.exe）和一个恶意 DLL（如 xwEB_eLF.dLl）。运行合法程序时，以“白加黑”方式加载恶意 DLL。
- 连接 C2 与后门：恶意 DLL 解密配置后，向 C2（如 acms555.club）发起连接，下载具备文件管理、键盘记录、插件动态加载、重启/关机等能力的“登录模块”后门。
防御要点：这类攻击最擅长伪装成“税务/财务/银行”相关文件，并常通过搜索引擎广告与仿冒下载站触达受害者——这恰恰是财务、行政、业务岗位最容易被命中的入口。
五、持久化与反检测手段
- 注册表存储：远控模块将插件数据存放在 HKCU\Console\0（32 位）或 HKCU\Console\1（64 位），减少磁盘取证痕迹。
- VMP 加壳：核心 DLL 经 VMProtect 加壳，增加逆向分析难度。
- 配置三重加密：C2 配置字符串以“逆序 + RC4 加密 + 逆序”方式存储，运行时解密，规避静态字符串匹配。
六、通信与配置特征（用于识别）
上线模块采用 TCP 与 C2 通信，数据格式为“4 字节总长度 + 10 字节密钥（与 0x36 异或作为真实 XOR 密钥）+ 有效载荷”，C2 返回下一阶段恶意模块。配置字段包括失效时间、多组 C2 域名/IP 与端口、通信协议、编译时间，以及键盘记录、结束蓝屏、反流量监控、进程镂空、守护进程等功能开关。
七、防范建议（个人与企业）
- 走官方渠道下载：软件只从官网或可信应用商店获取。搜索结果中标注“广告/推广”的条目尤其要警惕，认准官方域名。
- 全员安全意识培训：重点覆盖财务、业务对接、行政等岗位；并在邮件网关、网页代理、即时通信网关预置仿冒软件类钓鱼链接的拦截规则。
- 对持久化与落地行为建告警：监控 HKCU\Console\0/1 注册表键的创建写入，以及 C:\Users\Public\NVTELEMETRY 目录的生成。
- 定期自查：检查终端自启动项、系统服务、运行进程与网络连接，留存日志。
- 金融/财税单位回溯：近 3 个月的邮件附件、即时通信文件、网页下载全链路日志逐笔排查，及时清除失陷节点。
- 网络侧封堵 IOC：在出口侧封堵披露的相关 C2 域名/IP 与样本哈希，并基于 IOC 特征做全盘扫描。
八、企业如何快速自查是否中招
如果你的单位是金融、财务、税务相关行业，可优先排查以下高可信指标：
- 是否存在文件夹 C:\Users\Public\NVTELEMETRY（含随机名子文件夹），其中出现 NvTelemetryBridge64.exe 与可疑 DLL；
- 注册表 HKCU\Console\0 或 HKCU\Console\1 下是否有异常数据写入；
- 网络出口是否频繁连向 .club / .cc 等后缀、且命名呈“字母+数字”规律的域名（如 tax 前缀的仿冒站点）；
- 近期是否从搜索引擎进入过“星河科技软件下载中心”等仿冒下载站。
如发现上述迹象，应立即断开网络、保留日志并联系安全厂商或 CNCERT 处置。完整的 IOC（C2 IP、域名、样本哈希）请以 CNCERT/启明星辰发布的原报告为准。
常见问题
“银狐（SilverFox）”木马“镜昙（G02）”团伙是什么来头？
它是银狐攻击生态下独立运营的全新分支，由 CNCERT 与启明星辰在专项工作中监测发现。目标聚焦中文背景的金融、财务、银行、税务用户，最早于 2026 年 7 月下旬活动，9 月进入集中爆发期，目前已持续活跃。
普通企业怎么防范这类攻击？
核心是“官方渠道下载 + 安全意识 + 网关拦截 + 定期自查”：软件只从官网或可信商店获取；对财务/行政等岗位做专项培训；在邮件与上网网关预置仿冒下载站拦截规则；定期检查自启动项、进程与网络连接。
财务/税务人员要特别注意什么？
这类攻击最爱伪装成“税务文件、对账单据、采购订单、银行对账单”等财税主题，并通过搜索引擎广告、仿冒“星河科技软件下载中心”等下载站触达。看到这类文件与下载站，务必先核实官方来源，切勿直接打开。
如何判断电脑是否已经中招？
可重点排查：是否存在 C:\Users\Public\NVTELEMETRY 目录及其中的可疑 exe/DLL；注册表 HKCU\Console\0/1 是否被异常写入；网络是否频繁连向 tax 前缀、.club/.cc 等“字母+数字”规律域名。发现迹象应立即断网并保留日志。
发现中招了应该怎么办？
第一时间断开网络、不要关机以免丢失内存证据，保留终端与边界日志，联系安全厂商或 CNCERT 处置，并基于披露 IOC 做全盘扫描与出口封堵，清除已落地样本。
下一步
网络安全与软件交付是两件事：我们（云豆信息科技）专注的是官网建设、小程序开发与企业软件定制；但在为客户交付系统时，也始终把“后台权限归客户、数据可备份、HTTPS、代码审计”等安全基线纳入交付标准。如果你正在评估官网或业务系统建设，欢迎把安全与合规要求一并告诉我们。
相关阅读
需求聊一聊
把大致方向告诉我们，免费给出功能拆解与工期建议。工作日 09:00 - 17:00 在线。
微信咨询
服务号
