Farfli远控木马科普
一、木马基本概述
Farfli（Trojan/Win32.Farfli）是一款流传时间久、变种数量庞大的经典远程访问型木马（RAT），属于常见僵尸网络后门程序，上线多年持续迭代变种，至今依旧活跃于政企、高校内网环境中。该木马主打静默潜伏、远程控制与信息窃取，整体隐蔽性极强，普通终端用户很难自主察觉主机异常，也是校园网络日常安全告警中高频出现的恶意威胁。
日常安全设备监测到主机主动外联恶意控制域名、触发安全告警，即为Farfli远控木马活动事件，代表终端已植入木马程序，正在主动尝试连接黑客控制服务器，接收攻击指令，属于典型高风险网络安全威胁。
二、木马核心运行原理
Farfli木马入侵主机后，不会弹窗提示、不会影响电脑日常办公使用，全程后台静默运行，主要分为三步完成攻击：
潜伏驻留：入侵后自动隐藏恶意进程，篡改系统注册表、添加开机自启项与计划任务，实现电脑重启后木马自动复活，长期潜伏在终端中。
主动外联：木马定时向黑客专属C2恶意域名发送心跳数据包，上报主机在线状态，持续等待攻击者下发控制指令。
接受指令作恶：成功建立通信后，攻击者即可远程操控本机，开展数据窃取、屏幕监控、内网横向渗透等一系列恶意攻击行为。
三、主要安全危害
1. 全方位远程操控主机
攻击者可无感知远程查看电脑屏幕、远程操控鼠标键盘、开启摄像头与麦克风，实时监控用户所有操作，完全接管被控终端的全部使用权限。
2. 窃取账号与敏感数据
木马自带键盘记录功能，全程记录用户所有输入内容，可窃取办公账号、教务系统账号、浏览器保存密码、办公文档等私密资料，极易造成单位内部数据泄密。
3. 规避杀毒，难以彻底清除
该木马具备基础免杀能力，可绕过部分终端防护软件，同时隐藏自身文件与进程；普通一键杀毒无法根除后台残留文件，极易出现查杀后反复告警的情况。
4. 内网扩散，扩大攻击范围
一旦单台主机被感染，木马可依托内网漏洞、弱口令进行横向移动，感染局域网内其他办公电脑，造成校园内网批量主机沦陷，引发大范围网络安全事故。
四、常见传播途径（高校内网高发）
软件捆绑：破解工具、盗版办公软件、资源压缩包捆绑木马，用户安装软件时静默植入后门；
恶意附件：钓鱼邮件、社交聊天软件内不明附件，打开即可自动释放木马程序；
移动介质传播：U盘、移动硬盘跨电脑拷贝文件，导致木马在内网终端之间交叉感染；
恶意网页访问：访问不明非法网站，后台自动下载并运行恶意木马样本。
五、标准化应急处置方案
阻断恶意通信链路：在边界防火墙、域名防护设备中拦截木马对应的恶意控制域名，直接切断木马与黑客服务器的连接，阻止远程控制指令下发。
终端全盘深度查杀：对告警主机进行全盘病毒木马扫描，彻底清除木马本体以及关联恶意组件，从源头清除病毒。
排查系统驻留痕迹：人工核查可疑后台进程、开机自启项与系统计划任务，清理木马残留启动配置，杜绝木马重启后二次复活。
六、日常预防防护建议
不随意下载安装非官方破解软件、不明工具包，拒绝打开来源未知的邮件与文件；
常态化更新终端杀毒软件病毒库，定期开展内网终端全盘安全巡检；
规范内网主机口令，禁止弱口令，封堵内网横向渗透攻击路径；