国内2.5万台终端一月被控！CNCERT起底“金钩”木马，高校在列
11月10日，国家互联网应急中心（CNCERT）发布《关于“银狐”木马“金钩（G03）”团伙攻击态势深入分析报告》，将“银狐”木马系列中一个持续活跃的团伙正式命名为“金钩（G03）”。该团伙搭建仿冒炒股软件“同花顺”的钓鱼网站传播木马：2026年10月4日至11月2日共控制境内受害终端25164个，单日上线峰值1062台，单日与控制服务器通联次数最高超过256万次，目前仍在活跃，受控终端日活上千。报告列出的主要攻击目标包括国内高校、医疗、证券和科技企业。
攻击链条环环相扣
该团伙注册的钓鱼域名对官方域名只改动两个字符：用小写字母“l”替换“1”、用“o”替换“0”，再借助搜索引擎投毒和关键词竞价，让假站挤进搜索结果前列。用户搜索“同花顺下载”误入假站，点“立即下载”拿到的并非官方安装包，而是捆绑木马的压缩包。运行后，程序向系统临时目录释放一个木马下载器和一个带正规数字签名的同花顺白文件。白文件用于迷惑用户，下载器则写入注册表自启动项实现开机驻留，随后经非标准端口直连境外控制服务器，分四个阶段把最终木马拉入内存中解密执行。
同花顺仿冒网站入口（图源：国家互联网应急中心网站）
木马还具备反沙箱能力
报告披露，下载器运行前会先清点电脑进程数：不足68个，就判定身处沙箱或虚拟机，转而加载一段被破坏的载荷干扰分析；确认是真实主机，才执行完整攻击。植入的“银狐”木马可接收服务器指令，具备屏幕截图、键盘记录、远程命令执行、插件下发等功能。对师生而言，木马记录的键盘输入可能涉及网银、证券账户密码；一台失陷的个人终端，还可能成为攻击校园内网的跳板。
如何应对？
报告给出四条建议，可直接照做：一是下载软件只走官网或可信应用商店，对标注“广告”“推广”的搜索结果格外当心；二是定期自查，重点排查注册表启动项和计划任务，尤其留意名为“SystemKKfile”的自启动项及临时目录里的可疑程序；三是单位网络管理员应在网络出口封死报告披露的域名和控制服务器地址，并在全网终端按这些特征全盘扫描、清除已落地的恶意样本；四是安装终端防护软件，定期全盘杀毒。
以上规模数据来自CNCERT监测，受影响范围以官方通报为准，不必过度恐慌，但务必完成自查。该团伙自2025年底开始活跃，钓鱼网站仍在批量更换域名，攻击未停止。使用炒股、行情类软件的师生，请从官方渠道重新核对下载来源，并按建议及时检查自己的电脑。
本文综合CNCERT《关于“银狐”木马“金钩（G03）”团伙攻击态势深入分析报告》（2026年11月10日）编写。
原文链接：
https://www.cert.org.cn/portal/yjtb/eydmtb/2026/11/27ae286da3f0454ead6047d81b8b8b90.htm
- 用户评论
