奇虎 360《互聯網不安全報告》披露：2007 上半年截獲惡意代碼 16.8 萬，**木馬佔比 80%**。單「灰鴿子」變種超 6 萬。面對變種洪流，病毒庫永遠滯後。**核心洞察：木馬必須誘導用戶「主動運行」才能生效**。掌握偽裝與投遞套路，普通用戶也能養成「火眼金睛」。
木馬攻擊核心模型：客戶端 + 服務端
- 客戶端：駭客控制端，配置生成服務端
- 服務端：植入受害機，提供後門功能（遠控、盜密、鍵盤記錄、屏幕監控、文件管理、進程管理、攝像頭/麥克風竊聽）
- 反彈式連接：現代木馬主流採用反向連接（受害機主動連接 C&C），繞過防火牆入站攔截（防火牆對出站寬鬆）
偽裝技術演進與識別對策
第一代：原程序偽裝（基礎但高效）
灰鴿子服務端配置選項：
- 修改程式圖標（文本、圖片、安裝包、系統工具圖標）
- 自定義釋放路徑（
%SystemRoot%\system32\system.exe、%AppData%\Microsoft\Windows\svchost.exe）
- 自定義啟動項名稱（模仿系統服務：
Windows Update、Security Center、WmiApSrv）
- 關聯
iexplore.exe：隨瀏覽器啟動，隱蔽持久化
識別技巧
- 顯示文件擴展名：
readme.txt.exe 顯示為 readme.txt 但類型為「應用程式」→ 立即刪除
- 註冊表/服務異常監控：Autoruns/RegSnap 對比基線 → 可疑項 Google 搜尋 → 無合法信息 = 惡意
- 系統目錄異常檔名審計：
system.exe、svchost.exe（非 System32）、lsass.exe（非 System32）、csrss.exe（非 System32）**越像系統檔越要查**
第二代：捆綁偽裝（掩人耳目）
原理：將正常程式（安裝包、遊戲、破解工具、文檔）與木馬服務端綁定，運行時同時釋放正常程式與木馬，用戶見正常程式運行以為安全。
檢測工具
- BinText：字符串提取，搜尋可疑 URL/IP/命令
- PEiD / Exeinfo PE：殼檢測、區段熵值分析、入口點異常
- CFF Explorer：PE 結構深度分析、導入表/資源節異常
- 沙箱運行：Windows Sandbox / VMware / ANY.RUN / Hybrid Analysis 觀察行為
第三代：網頁/郵件掛馬（無需用戶顯式運行）
- 駐留型 XSS/Iframe：合法網站被植入惡意腳本/隱形框架
- 漏洞利用工具包：瀏覽器/Flash/PDF/Office 0-Day/1-Day → 靜默下載執行木馬
- 代碼混淆/加密：JS 混淆、VBScript 編碼、PowerShell 編碼命令，繞過靜態特徵匹配
防禦策略（主動防禦時代前夜）
- 提升 IE/Edge/Chrome 安全級別：禁用 ActiveX、限制腳本、啟用 SmartScreen/安全瀏覽
- 部署主動防禦/HIPS：攔截進程注入、API Hook、驅動加載、關鍵註冊表寫入（如 360 核心/火綿/Comodo HIPS）
- 應用程式白名單：AppLocker/WDAC 只允許簽名受信程式運行
- 網絡層阻斷：DNS 過濾（Cisco Umbrella/Quad9）、威脅情報封鎖 C&C 域名/IP
實戰防範清單（每日/每周/每月）
| 頻率 | 動作 | 工具/方法 |
|---|
| 每日 | 檢查啟動項異常、觀察網絡連接、查看殺毒日誌 | Autoruns、netstat -anob、殺毒軟體日誌 |
| 每周 | 全盤深度掃描、檢查計劃任務/服務/驅動、更新補丁/特徵庫 | 殺毒全盤、Task Scheduler/services.msc、WSUS/WSUS Offline |
| 每月 | 基線對比、滲透測試/紅隊演練、應急預案演練 | CIS-CAT、OpenVAS、Atomic Red Team |
心法總結
- 不執行不明程式：源頭切斷 90% 木馬
- 不信任「熟人」發來的無上下文檔案/鏈接：帳號被盜發送是常態
- 顯示擴展名、查看文件屬性、驗證數位簽名：三步驗真偽
- 備份是終極免死金牌：3-2-1 原則，木馬加密勒索也不怕
- 持續學習 ATT&CK 技術矩陣：知攻擊之道，筑不敗之盾
木馬變種無窮，但誘導運行的社會工程學本質不變。養成安全習慣，部署纵深防禦，你就是自己的最強殺毒軟體。