关于火绒查杀IP-Guard文件的说明(文末有小彩蛋)

自2023年初以来，“银狐”木马活动日益频繁，已成为网络安全界的关注焦点。此木马由多个黑灰产团伙采用多种进攻策略和高级技术共同实施，主要目标是企业和机构内的管理、财务、销售及电商人员。通过精心设计和投递远控木马，实施钓鱼攻击。一旦成功感染受害者的计算机，木马可长期驻留并窃取敏感信息。

一、    “银狐”木马的特性与技术手段

银狐木马是一种高级持续性威胁（APT）恶意软件，它通过复杂的手段感染用户设备，并在系统中长期驻留，以实现对用户的监控和远程控制。

它的主要特性包括：

-持续升级优化：银狐木马不断更新其技术和策略，以应对安全软件的检测和防御。

-有组织且频繁的攻击行为：覆盖多个行业，包括金融、教育、电商和货运等。

-高度隐蔽性：利用社会工程学和网络钓鱼等先进攻击技术，增加其隐蔽性和破坏性。

-多功能性：包括截屏、按键记录、剪贴板记录、远程命令执行和信息窃取等。

二、    攻击过程与影响

一旦银狐木马成功感染受害者设备，它会逐级分阶段下载执行恶意文件，操作注册表，直至最终安装远程控制木马，获得受害者系统的操作权限进行持续监控。

其主要影响包括：

-窃取敏感信息：如个人信息、财务数据和其他关键数据。

-非法获利活动：如网络诈骗、身份盗窃和其他形式的欺诈和非法交易。

三、    近期活动与传播方式

近期，银狐木马的活动再次活跃，利用企业管理软件漏洞传播，众多用户深受其害。

其利用企业管理软件漏洞的传播方式主要包括：

-信任名单与自我保护：由于这些企业管理软件是正规企业出品的，它们通常会被安全软件列入信任名单，从而不会被拦截和查杀。此外，这些软件还具备自我保护能力，防止被停用或卸载。从而躲过杀软的查杀，无法彻底清除病毒。

-利用正规企业管理软件传播：如ip-guard、固信终端安全、阳途终端安全等，这些软件本身用于企业IT管理，能够对终端设备进行集中管理和运行监控，从而可以广泛的传播。

执行流程图

四、    火绒的应对措施

为了保障用户的终端安全，从根源上解决用户电脑被远控的问题，火绒与IP-Guard积极沟通后达成一致的处理方式，即对可能被黑客利用的IP-Guard版本进行查杀。业内其他安全厂商也有类似处理方式，例如360、Avast等（见下图）。

1、火绒查杀

2 、360查杀

3 、AVAST查杀

这样做有以下目的：

- 保护用户终端安全：由于IP-Guard老版本很可能被“银狐”病毒利用，成为病毒的突破口。如果不查杀相关文件，用户电脑就存在被远控的风险，可能导致数据泄露、财产损失等严重后果。

- 有效对抗“银狐”病毒：“银狐”病毒利用IP-Guard早期版本的漏洞来逃避杀软检测，火绒查杀IP-Guard相关文件是切断病毒传播途径的重要手段。只有这样，才能提高整体的防御能力，让用户的电脑免受“银狐”病毒的侵害。

五、    用户使用建议

为了进一步保障终端安全，建议用户采取以下措施：

- 升级软件：尽快将IP-Guard升级到最新版本，以修复已知的安全漏洞。

- 备份数据：在升级前，建议备份重要数据，以防意外情况发生。

- 定期检查：定期使用火绒或其他安全软件进行系统检查，确保系统安全。

如您不希望IP-Guard文件被查杀，也可以通过加入白名单的方式将对应文件排除在查杀范围之外，但这样会极大地增加被“银狐”病毒侵害的风险，请您谨慎考虑是否需要进行此操作。

六、    结论

火绒查杀可能被黑客利用的IP-Guard文件，是基于对用户终端安全的负责以及有效对抗“银狐”病毒的考量。这是与相关企业管理软件厂商积极沟通后的有效手段。希望用户能够理解和支持这一举措，共同维护网络安全环境。

近年来，企业网络安全态势日渐严峻，各类病毒持续不断的对抗杀软，造成企业敏感数据泄露或导致企业网络被入侵。在此，火绒安全建议各大企业对重点业务电脑、重点人员电脑或者全部电脑，安装火绒终端(企业版/个人版)或者第三方杀毒软件进行防护，并且进行定时杀毒。对财务等高价值人员进行相关培训或者告知相关病毒利用手法，防范点击陌生链接，确认信息来源真实性。严格遵守相关的工作规范，降低通过身份伪造、语言诱导导致的财产损失。

    版本说明：

    火绒企业版用户，版本需满足以下全部要求即可支持查杀：

    中心版本2.0.14.7及以上

    终端版本2.0.14.4及以上

    病毒库2024-11-05及以上

    火绒个人版用户，不同产品版本满足以下要求即可支持查杀：

    火绒安全6.0版本6.0.2.4及以上且病毒库版本2024-11-05及以上

    火绒安全5.0版本5.0.75.16及以上且病毒库版本2024-11-05及以上

七、    参考文章：

1、 火绒安全：情况说明|部分企业管理软件被黑客利用投放银狐病毒

https://mp.weixin.qq.com/s/-FcNflXDdbhwslqxt7-teQ

2、 360安全卫士：银狐投毒心不死，保持一级警戒！

https://mp.weixin.qq.com/s/ZU8xs7OZtoekru_RSVkuJw

3、 火绒安全：银狐新变种于幕后潜行，暗启后门远控窃密

https://www.huorong.cn/document/tech/vir_report/1784

讲点大白话：

想象一下，你的电脑是一个温馨的小家，本来生活安宁，岁月静好。但是有一天，一个“潜伏者”——银狐系列变种木马病毒，趁你不注意的时候，偷偷溜进你的温馨小家里。 “潜伏者”相当狡猾，会利用家里的物品（系统特性）隐藏它携带的作恶工具，来避开家里的监控。接着它会寻找合适时机，通过一些手法来重新释放作恶工具，从而在你家开一个新的后门，方便和它的同伙一起，对你的小家进行监视和远程控制，并向外传递信息。

但是别担心，目前火绒已经可以拦截和清除这种木马了。就像有雷达兵帮助我们探测处理“潜伏者”一样，所以，记得更新你的火绒病毒库，守护你的电脑安全哦~