我先怎么判断
遇到“疑似感染银狐木马：我会先做的隔离和取证步骤”这类情况，我不会先下结论说一定中毒。广告组件、浏览器设置、驱动异常和恶意程序有时会出现相似表现。我会先暂停可疑操作，记录异常，再按所谓银狐木马或相关下载器、远控样本的防守排查这条线排查。
如果电脑里保存过网银、邮箱、社交账号或工作资料，先不要在这台疑似异常的电脑上继续登录重要账号。需要改密码时，我会优先使用另一台干净设备，并打开多因素验证。
常见表现
- 安装所谓工具、补丁、客服远程软件后突然出现异常
- 浏览器主页、代理、下载目录或快捷方式被修改
- 安全软件提示远控、下载器、窃取器或可疑脚本
- 账号出现异地登录、验证码异常或陌生会话
我会先检查这些地方
- 先确认样本来源、下载地址、文件名和首次运行时间
- 查看可疑文件的签名、完整路径、父进程和启动方式
- 检查计划任务、服务、启动项、远程控制软件和代理设置
- 查看安全软件保护历史，不仅看单个文件名
- 判断是否在这台电脑上输入过邮箱、社交、支付或工作账号
处理顺序
- 先断网，不再打开可疑压缩包、安装包或远程协助窗口
- 用手机或另一台干净设备修改最重要的账号密码并退出会话
- 使用官方安全工具扫描，顽固情况进入脱机扫描环境
- 清理恶意启动项、计划任务、服务和浏览器配置
- 检查代理、DNS、Hosts 和远程访问设置是否恢复正常
- 无法确认清理完整时，备份个人资料后重装系统
清理后怎么复核
- 重新启动后确认可疑进程和网络连接没有复发
- 观察安全中心保护历史，确认没有同一风险持续出现
- 检查浏览器扩展、快捷方式、代理和默认搜索
- 检查账号登录记录、绑定设备和多因素验证状态
我不建议这样做
- 不要因为文件名带有“银狐”就只删除一个文件
- 不要相信弹窗里要求安装远程工具的“客服指导”
- 不要从论坛回复、网盘评论或陌生私聊下载所谓专杀
- 不要在尚未隔离的设备上继续处理敏感账号
我的经验
“银狐木马”这个称呼可能被不同样本或诈骗话术使用，不能只凭一个名称定性。我会按可疑下载、远控常驻、信息窃取和持久化这几条线处理。
参考资料
下面列的是厂商或机构资料入口，实际操作时只从可信域名下载工具。