618事件 银狐分析简报

6月18日，我们公司经历了一场因银狐病毒引发的钉钉账号被盗及钓鱼信息传播事件，给一些意识淡薄的同事带来了经济损失。

查看网络信息，发现主机存在ipguard远控

查看进程，发现主机存在rundll进程，并调用了一个位置的非dll的文件，根据云端处置经验该进程为恶意进程

查看文件夹目录信息，找到恶意文件

根据恶意文件特征检索，发现主机存在多个该恶意进程的启动项

删除维持项

终止进程

删除恶意文件

卸载ipguard远控

根据remote.hlp文件落地时间进行检索，发现该恶意文件落地时，微信接收到一个压缩包，查看桌面信息，发现用下载后，解压该文件并执行了该未知风险文件。失陷原因：接收微信未知文件并点击

总结

用户从微信接收未知风险的压缩包文件并点击运行，导致主机感染银狐病毒，被攻击者远程控制。