近期，瑞星安全团队接到用户反馈，样本经分析为一个采用Rust语言开发的银狐木马。该样本是一款多层链式部署的远控木马程序，伪装成名为文函.exe的普通文档程序，以降低用户警惕性。样本内置完善的环境检测逻辑，能够自动规避虚拟机、调试器及主流安全软件环境；成功落地后，通过添加Windows Defender扫描排除项实现查杀绕过，并依托系统合法进程backgroundTaskHost.exe完成无文件进程注入，实现持久化驻留。其C2服务地址为gawdkl.fit，支持包括主机信息采集、屏幕截图、键鼠模拟、文件传输、注册表篡改、服务创建、摄像头/音频捕获等在内的完整远控功能，可窃取聊天软件记录、剪贴板内容、系统配置等敏感数据。
近期，瑞星通过自动化沙盒捕获到一个银狐家族的最新变种样本。该变种关联的攻击活动目标明确，攻击链高度复杂且极具迷惑性，其在沿用银狐家族传统手法——多层安装包嵌套（NSIS+Inno Setup）、内存反射加载、隐蔽进程注入及DLL侧加载（白加黑）——的基础上，新增了Lua脚本作为中间攻击组件以投递RAT载荷，并利用TypeLib劫持实现持久化驻留。
近期瑞星接到用户反馈的疑似银狐木马样本，经过分析确认，该样本是一个伪装成票务工具，是一个具备环境感知与按需投递能力的下载器，最终将下载易语言编写的模块化的银狐木马并执行。样本采用多阶段投递的方式，逐层按需落地恶意载荷。Payload执行后，并非立即窃取数据，而是优先完成对目标主机的深度环境画像，采集多种目标主机的内容，基于采集结果，恶意程序会动态评估目标价值，针对具备特定条件的机器，差异化下发特定恶意模块，实现按需精准操作的同时，大大的减少非任务代码暴露，增加分析难度。
“银狐”木马，是一类针对企事业单位管理人员、财务人员、销售人员及电商卖家进行钓鱼攻击的木马。攻击团伙频繁利用钓鱼邮件、虚假发票、伪造的政府通知等社会工程学手段，将远控木马悄然植入用户电脑，获得受害者的计算机控制权限，在系统内长期驻留，监控用户日常操作，窃取敏感信息，利用受害者的即时通信软件来发送具有针对性的钓鱼、欺诈类信息，实施钓鱼攻击和诈骗等违法行为。
市面上许多检测方法要么过于依赖技术（查看进程、分析代码），让普通用户望而却步；要么基于“可疑”特征，容易造成“草木皆兵”的恐慌。瑞星为广大用户制作了简易的自查手册，帮助用户快速排查自己的设备是否已经感染了“银狐”木马。只要按照以下步骤操作，若出现描述中的现象，即高度疑似感染“银狐”木马