警惕！銀狐木馬“盯上”DeepSeek本地化部署工具
DeepSeek持續(xù)爆火，大量政府、企業(yè)和個人開發(fā)者紛紛選擇進行本地化部署，以獲得更好的使用效果，網上迅速涌現(xiàn)出眾多與之相關的部署工具和下載資源，然而，攻擊者也將矛頭對準這一環(huán)節(jié)。
近期，360安全大模型監(jiān)測到，通過仿冒DeepSeek進行的釣魚攻擊迅速增多，出現(xiàn)大量虛假本地部署工具，如DeepSeek電腦版、DeepSeek中文版等，誘騙不了解情況的用戶充值購買。在各種釣魚攻擊中，持續(xù)猖獗的銀狐木馬團伙也再次現(xiàn)身，特別提醒廣大用戶，務必提高警惕，謹防上當受騙。
“簡單粗暴”，真實還原銀狐攻擊始末
銀狐木馬主要通過釣魚網頁、即時通訊軟件、下載站偽裝成常用軟件供用戶下載等方式進行傳播。它通常利用具有誘導性的文件名，如“成績單”、“轉賬通知單”等，在QQ、微信等即時通信軟件發(fā)送釣魚文件或網站鏈接，誘導受害者點擊。
面對DeepSeek近期的“潑天流量”，銀狐木馬團伙簡單粗暴，直接對其他仿冒DeepSeek工具進行二次打包嵌入木馬?；蚋纱唷安谎b了”，銀狐木馬團伙利用“DeepSeek”關鍵詞搭建各類釣魚站點，直接在仿冒網站提供一個木馬安裝包，誘導用戶下載虛假的DeepSeek安裝包，最終在用戶機器中植入銀狐木馬。
以上圖這個銀狐木馬為例，該木馬和過往的銀狐木馬在執(zhí)行流程和功能上并未有太大區(qū)別。木馬運行后會請求黑客服務器獲取后續(xù)的配置文件，并通過解密配置文件獲取其上線模塊、殺軟對抗模塊、駐留模塊等功能模塊。下圖展示木馬請求黑客服務器后獲取的配置文件。
獲取配置后，銀狐木馬會檢測系統(tǒng)中是否存在安全軟件，若發(fā)現(xiàn)能影響其工作的安全軟件，則調用殺軟對抗模塊與安全軟件對抗，主要通過構造RPC數(shù)據(jù)包、以RPC管道方式創(chuàng)建計劃任務繞過安全軟件檢測，計劃任務執(zhí)行的目標為可結束安全軟件進程的合法驅動，即BYOVD。一旦計劃任務創(chuàng)建成功，該驅動就會接收木馬發(fā)出的指令，在環(huán)0層結束安全軟件進程。
成功結束安全軟件后，“銀狐“的上線模塊和駐留模塊開始工作。其上線模塊是由Ghost木馬改造而成的“銀狐WinOS 4.0遠控”，能實現(xiàn)包括鍵盤記錄、屏幕監(jiān)控、命令執(zhí)行、語音監(jiān)聽在內的多種惡意操作。木馬竊取用戶的微信密鑰與聊天記錄、企業(yè)財稅文件、企業(yè)工資單等企業(yè)財務相關內容，最終將這些信息售賣給詐騙團伙。
針對近期再次活躍的銀狐木馬攻擊，建議廣大政企機構應盡快構建更加體系化、實戰(zhàn)化、智能化的數(shù)字安全防御體系。
來源：360數(shù)字安全
