黑瞳木马变种

一个做外贸的黑瞳朋友上周中招了。他收到一封"客户"发来的木马邮件，附件是变种个Excel报价单，打开后什么都没发生——没有弹窗，黑瞳没有卡顿，木马甚至杀毒软件一声没吭。变种三天后，黑瞳他的木马网银账户被转走了十七万。

这事儿让我想起2013年那会儿的变种"黑瞳"木马。当时它主要靠钓鱼邮件传播，黑瞳感染后会在用户登录网银时弹出一个伪造的木马登录框，把账号密码直接发到黑客邮箱。变种那会儿技术糙，黑瞳稍微懂点电脑的木马人都能看出破绽——弹窗的UI跟真银行界面差得远，字体都不对。变种

但现在的变种完全不一样了。

我拿到一个样本，是伪装成PDF的屏幕保护程序文件，后缀名.scr。双击后它确实打开了一个PDF——一份真实的、内容完整的采购合同。用户看完就关了，根本不知道后台已经运行了另一套东西。

这套东西干的活很细。它会先检测当前进程里有没有网银的安全控件，如果有，就把自己注入到explorer.exe里，这样杀毒软件扫描时看到的是系统进程，直接放行。然后它开始监听键盘输入，但只记录特定窗口的按键——比如建行网银的登录页面，其他时候一律不记。这种"选择性记录"让它的数据量极小，发回服务器的压缩包只有几KB，流量监控根本注意不到。

更狠的是它的转账环节。传统木马是直接改收款账号，但黑瞳变种会等用户完成转账操作后，在后台再发一笔小额转账——通常是几百块——收款方是提前埋好的傀儡账户。因为金额小，短信提醒容易被忽略，等用户发现时，钱已经经过三层跳板转走了。

我跟踪的一个案例里，受害者是某公司的财务。她每天要处理几十笔转账，木马就潜伏了整整两周。期间黑客通过截获的键盘记录摸清了她公司的转账审批流程，甚至模仿她上司的语气发了一封内部邮件，要求"紧急支付一笔供应商款项"。这封邮件是从受害者自己的邮箱发出的——木马有发信功能。

安全厂商的反应总是慢半拍。我查了几个主流杀软，对这类变种的检出率不到30%。原因很简单：它不写注册表启动项，不创建服务，甚至不常驻内存。每次开机后，它通过一个计划任务从远程服务器下载最新模块，用完就删。这种"无文件"攻击模式让传统基于特征码的扫描完全失效。

普通人能做什么？说实话，挺有限的。别点陌生附件这种话已经说烂了，但真正的问题是——现在连熟人发的文件都不一定安全。我自己的做法是：所有涉及钱的电脑操作，用一台专门的、不装任何多余软件的旧笔记本。那台机器只开浏览器和网银，其他什么都不干。

听起来很麻烦对吧？但比起钱被转走后再去报警、做笔录、等立案，这点麻烦真不算什么。那个外贸朋友到现在还没拿回他的钱，警察说钱到了境外，追回来的可能性很小。

黑瞳变种最可怕的地方在于，它不搞破坏，不炫技，甚至不想让你发现。它就像一只安静的老鼠，蹲在角落里，等你打开钱包的那一刻。

本文地址：http://www.79wt.cn/news/1266f9699777.html