银狐C2供应商浮出水面：官方预警里的'深圳IP'实为香港机房，与最新投放控制端同源

原创

安全情报官
安全情报官

AI和提效工具实验记

2026年10月13日 09:18
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

银狐C2供应商浮出水面：官方预警里的'深圳IP'实为香港机房，与最新投放控制端同源

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.头号增量：官方预警 C2 14.128.47.87 与新投放 C2 202.61.157.33 经 whois 证实同属 CTG Server Ltd.（一 HK 段一 SG 段）。昨日「深圳电信家宽段、境内中转假说待核实」的判断被 whois 权威数据推翻——14.128.47.87 实为 CTG128-40-HK（CTG Server 香港 IDC 段）；今日从 10/12 双样本提取的全新 C2 202.61.157.33:21357 落在 CTG61-157-SG（同公司新加坡段），两者同 abuse（[email protected]）、同注册地址、同 maintainer（MAINT-RCPL-SG）。CTG Server 为 Derp 历史 C2 窗口长期榜首托管商——官方监测口径与新投放基建同供应商，14.128.47.87 归属 ValleyRAT 的通报可信度获独立佐证，「段位异常」疑点正式闭环。

2.ValleyRAT 10 月投放 streak 修正为连续 9 天（10/3–10/11）：Derp 回填显示 10/10=1、10/11=2（昨日「streak 中止」结论被推翻作废），10/12 再入 6 个——10 月序列 1/1/4/9/9/13/11/1/2/6，库内 71 样本中 10 月占 57 个（80%），日均 5.7 个仍为 9 月中旬以来最高强度区间。

3.10/12 双样本共享全新 C2 202.61.157.33:21357（06af7db1… 与 20eb85e5…，SSDEEP 前缀一致判 builder 同源）：单 IP + 高位端口形态，与 10.4 活动的 156.247.40.74:9295/9296 双端口模板不同——10 月基建线并行的第三条。

4.10/9 批次 C2 补验完成（Triage 恢复）：156.247.40.74「8 样本同 C2」假设被部分推翻——抽验 a5b7a603…（柬埔寨语金边工人诱饵，DonutLoader→ValleyRAT 链，本报首次记录柬埔寨语诱饵）配置区无该 C2；10 月 C2 并行格局确认。另 10/10 样本提取 campaign\_date=2026.9.30 新活动标记，C2 161.248.14.38:443/80（该段第 3 IP，配置模板与 9.3 活动 161.248.15.160 完全同款：单 IP 双端口 + 127.0.0.1:80 本地兜底）。

5.微步批次恢复刷新（「12日更新」，3 日静止后回归）：域名榜 OSS 桶占 6/15、IP 榜 14/15 换血（156.251.x 双 IP 同榜）；补录：ngCERT（尼日利亚）10-06 官方预警点名 Silver Fox 仿冒软件链（谱系官方预警面新增一国）。CCTGA 第六批 21 天未发。

二、重点事件

事件 1（今日头条）：CTG Server 双段双 C2 互证——14.128.47.87 段位定性反转，官方预警与新投放基建同供应商

•时间：whois 核验于 2026-10-13 09:20

•来源：APNIC whois 权威数据 + Derp 样本库 Triage 配置提取 + 本报历史窗口数据

•要点：

•14.128.47.87 修正：inetnum 14.128.40.0 - 14.128.47.255，netname CTG128-40-HK，descr CTG Server Ltd.，country HK——昨日依据段段常识做出的「深圳电信家宽/IDC 混用段」判断错误，APNIC 权威登记为香港 CTG Server IDC 段（14.x 段在 APNIC 语境不能套用内地电信段常识）

•202.61.157.33 同源：inetnum 202.61.157.0 - 202.61.157.255，netname CTG61-157-SG，descr CTG Server Ltd.，country SG；与 14.128.47.87 同 abuse（[email protected]，2026-06-17 验证）、同注册地址（香港德辅道中 Kam Sang 大厦）、同 mnt-by（MAINT-RCPL-SG）

•历史互证：CTG Server 为 Derp 旧 C2 窗口长期榜首托管商（本报 9 月记录：CTG 16/19/20/21 席居首）——银狐基建采购长期偏好该供应商，本波次两个新段（HK+SG）同时投入使用

•判定链价值：官方预警（14.128.47.87，「有关部门通报」）与厂商侧新样本（202.61.157.33，Triage 提取）两条独立线索汇聚同一托管商——低概率巧合，14.128.47.87 归属 ValleyRAT 的置信度升至高，且预示银狐正启用 CTG 新段轮换（177.4.3.x 段级轮换先例重演概率高）

•影响面：CTG Server 名下段（14.128.40.0/21、202.61.157.0/24 等）应整体进入企业出口监控视野；14.128.47.0/24 段内同端口形态扫描建议维持（段级轮换历史规律）

事件 2：Derp 回填推翻「streak 中止」——10 月连续 9 天投放，样本库 +9

•时间：核实于 2026-10-13 09:05

•来源：Derp ValleyRAT Malware Profile（样本库 62→71）

•要点：

• 10/10 回填 1 个、10/11 回填 2 个、10/12 新入 6 个——昨日以「10/10=0（T+2）」定性的「投放 streak 中止」作废（回填滞后规律第 3 次兑现，且此次滞后达 2 天，为历史最长）

• 10 月最终序列：10/3=1 → 10/4=1 → 10/5=4 → 10/6=9 → 10/7=9 → 10/8=13 → 10/9=11 → 10/10=1 → 10/11=2 → 10/12=6；连续 10 天有样本入库，库内 71 个样本 10 月占 57（80%）

•数据纪律再修正：Derp 回填滞后从「约 1 天」上修至「1-2 天」，T+2 可信门槛对回填场景不完全够用，T+3 定性制自本日起执行

•影响面：10 月投放强度判断上修；10/9-10/12 检索集维持并扩充（见 IOC 4.3）

事件 3：10/12 双样本共享全新 C2 202.61.157.33:21357——第三条 10 月基建线

•时间：分析日期 2026-10-12；本报 10-13 提取

•来源：Triage 261012-esgjjafd42 / 261012-d83k9svx5m

•要点：

• 样本 06af7db1…（1.5MB）与 20eb85e5…（1.2MB）均判定 valleyrat\_s2 v1.0，配置提取 C2 同为 202.61.157.33:21357；SSDEEP 前缀一致（rIgtr71z4P33Q5TyjCIXYEGumgdJjrG8…），同一 builder 产出

• 行为面（16 签名）：UAC bypass（T1548.002）→ Run 键持久化（T1547.001）→ 修改注册表（T1112×3）→ 削弱防御（T1562.001）→ 卸载键枚举软件清单（发现）→ 非 C: 盘枚举（T1120）——标准 ValleyRAT stage2 全套

• 基建形态：单 IP + 高位端口 21357，与 10.4 活动双端口（9295/9296）、9.3/9.30 活动单 IP 双端口（80/443）均不同——同一时期至少三条 C2 配置模板并行（见 3.2 对照表）

•影响面：202.61.157.33 立即封禁 + 回撞；10/12 其余 4 样本 C2 待补验（明日例行）

事件 4：10/9 批次 C2 补验结案——156.247.40.74「同 C2」假设被部分推翻，柬埔寨语诱饵首现

•时间：Triage 恢复后核验于 2026-10-13 09:15

•来源：Triage 261009-v6134ahy2l

•要点：

• a5b7a603…（2.7MB）判定 donutloader + valleyrat\_s2 双家族，诱饵文件名为柬埔寨语（「ថ្ងៃទី៩ ខែតុលា…金边工人 code…」，大意：10 月 9 日金边有工人代码）——本报覆盖以来首次记录柬埔寨语诱饵，ValleyRAT 诱饵语料圈在中文/英文/日文之外新增一支，指向东南亚华人/中资圈投递

• 行为面：计划任务持久化（T1053.005）+ 国家码 geofence（T1614.001）+ 非 C: 盘枚举（T1120）+ Donut PIC 加载——与 10.4 活动样本行为签名高度一致

•配置提取为空（Malware Config 无 Extracted 区）——156.247.40.74「10/9 批次 8 样本同 C2」假设不能确认，至少本样本 C2 以运行时生成/加密形态存在；此前封禁建议维持（156.247.40.74 已由 4 样本共享的 10/8 批次证实），但「10 月单一 C2 主导」叙事降级为「多 C2 并行」

• Triage 平台恢复访问（连续两日 502 后），Derp→Triage 样本级 C2 管线重新可用

•影响面：中文区企业 + 东南亚中资机构；柬埔寨语诱饵样本哈希入检索集

事件 5（补录）：ngCERT 10-06 官方预警点名 Silver Fox——谱系预警面新增尼日利亚

•时间：ngCERT 通告 2026-10-06；本报 10-13 补录

•来源：ngCERT 高风险通告（经 ShakaraSquare 10 月报道转述，官网直连失败，通告原文链接待核实）

•要点：

• 尼日利亚 CERT 就「仿冒软件下载站 + 恶意安装包」发布高风险预警，明确关联 Silver Fox（Yinhu）；被仿冒品牌点名 Microsoft Edge、Kaspersky、Razer、Sejda PDF、DiskGenius 等——与微软 10-03 报告品牌清单（本报 10-03/10-04 已全量覆盖）高度重合

• 攻击链描述（克隆下载页 → ZIP/安装包 → 提权 → 削弱 Defender → 干扰 Windows Update/删除恢复副本）与微软口径一致，属微软 10-03 披露的国家级落地传播，无新 IOC

• 信号价值：银狐谱系官方预警面从中国（CVERC/CNCERT）扩展至非洲国家 CERT——仿冒软件链的国际受害面获官方侧确认

•影响面：有非洲/东南亚业务的出海企业可引用该预警强化「官方渠道下载」基线要求；无新增 IOC

事件 6：微步批次恢复刷新（「12日更新」）+ 二次传播甄别

•时间：核实于 2026-10-13 09:00

•来源：微步银狐情报共享站

•要点：

•批次静止 3 日后恢复刷新，未破「2-3 天恢复」历史规律上限（正好 3 天）；IoC 总量数字仍不可读（JS 渲染问题连续第 3 日，总量曲线中断待恢复）

• 12 批次结构：域名榜云存储桶 6/15（40%）——北京区 shybw6/yu8y1w/zlq2s4 三新桶 + 杭州 26nn/mm2027 + 香港 new2027 留存，覆盖阿里云三区；IP 榜 14/15 换血，156.251.18.113 与 156.251.11.135 同段双 IP（156.251.x 段级轮换延续）

• 热点关键词维持 Q3 人事季话术（人员名单/裁员/补偿/违纪）

•甄别：securebulletin / cyberupdates365 / secnews 10 月文 = 微软 10-03 假软件链报告二次传播（69 秒 polymorphic、.hl.cn 域名、Defender exclusion 等要素本报 10-03/10-04 已覆盖），不计增量；Infoblox PeckBirdy（赌场站藏 C2）、Check Point Nimbus Manticore、FBI Flax Typhoon 域名扣押（10-08）均谱系外；卡饭论坛 10-11 专杀工具横评（火绒/金山/管家/360 急救箱/KVRT/安天六款对比）+ 上海交大专杀指引为处置参考（非新威胁情报，见第五节建议 6）

•影响面：无直接新增；云桶子域告警策略与段级评分延续

三、技术分析

3.1 CTG Server 关联证据链（本期核心定性）

线索 A（官方监测口径）:   14.128.47.87:446/447/448    ← NJAU 10-08 预警（\"有关部门通报\"）   whois: CTG128-40-HK / CTG Server Ltd. / HK / [email protected]  线索 B（厂商样本提取）:   202.61.157.33:21357         ← 10/12 双样本 valleyrat_s2 配置   whois: CTG61-157-SG / CTG Server Ltd. / SG / [email protected]  汇合点:   同一运营主体（CTG Server Ltd.，注册地香港德辅道中）   同一 abuse 邮箱（2026-06-17 验证有效）   同一 maintainer（MAINT-RCPL-SG）   ↓   该托管商 = Derp 旧 C2 窗口长期榜首（本报 9 月记录 CTG 16-21 席）   ↓   结论: 银狐 CTG 供应商关系延续，HK/SG 双段新基建并行启用

•修正记录：昨日「深圳电信段，境内中转假说」否定（14.x 段在 APNIC 为 2010 年回收再分配段，不能套用内地运营商段常识；whois 权威登记 HK CTG）。教训沉淀：段位定性必须以 whois 权威数据为准，段段常识仅作初筛假设

•CTG Server 段清单（已知银狐关联）：14.128.40.0/21（HK，含 14.128.47.87）、202.61.157.0/24（SG，含 202.61.157.33）+ Derp 历史窗口 CTG 段（9 月记录）——建议按段级评分纳入出口监控

•前瞻：177.4.3.x 段四批次点名后仍段内轮换的先例提示——CTG 两个段内后续出现新 IP:端口组合的概率高，建议对两段做服务指纹周期探测

3.2 ValleyRAT 10 月活动归组更新（三线并行）

campaign 2026.9.3   C2 161.248.15.160:80/443 + 127.0.0.1:80 兜底（ZillberReleyHost 29MB 大包） campaign 2026.9.30  C2 161.248.14.38:443/80 + 127.0.0.1:80 兜底（6f050a42… 108KB 加载器，10/10 入库）                     ↑ 同段第 3 IP（.15.34/.87.176 微步热点 + .15.160/.14.38 Triage）——161.248.0.0/16 段级实证再 +1 campaign 2026.10.4  C2 156.247.40.74:9295/9296（10/8 批次 4 样本证实；10/9 批次关联降级为待定） 新线（未定 campaign_date）:                     C2 202.61.157.33:21357（10/12 双样本，CTG SG 段，builder 同源）                     10/9 柬埔寨诱饵样本 C2 运行时解（配置提取空）

•配置模板三型并存：①单 IP 双端口 + 本地兜底（161.248 系）②单 IP 双端口无兜底（156.247 系）③单 IP 高位端口（202.61 系）——同月三模板说明多构建者/多小组并行，与 360 统计「银狐工具链 20+ 团伙使用」的格局判断一致

•10/9 柬埔寨诱饵链：DonutLoader（PIC 加载）→ ValleyRAT stage2，持久化走计划任务（T1053.005），前置 geofence（T1614.001 国家码校验）——加载器与 stage2 的组合继续 Donut 系主导（KCPhoenix、PAPERMILL 同款）

3.3 ATT&CK 映射（本期增量项）

注：完整 105 项家族覆盖见 Derp 画像页；本表仅列本期新提取样本增量。

四、IOC 清单

4.1 本期新增 C2（核心增量）

4.2 CTG Server 双段对照（whois 证据）

4.3 新样本检索集（10/10–10/12，共 10 个）

4.4 微步 12 批次热点（部分）

五、检测与防护建议

1.202.61.157.33:21357 与 161.248.14.38:80/443 立即入出口封禁 + 30 天日志回撞；CTG 双段（14.128.40.0/21、202.61.157.0/24）纳入段级评分监控——银狐历史规律（177.4.3.x、161.248.x）显示段内轮换是常态，单 IP 封禁时效有限。

2.10/10–10/12 十哈希检索集落地 EDR（4.3 表）；命中任一按 ValleyRAT 处置流程走（计划任务 + Run 键双持久化位排查、UAC bypass 与 Defender 排除项变更审计）。

3.东南亚中资机构专项通告：柬埔寨语诱饵首现（金边劳工话题），建议在东南亚有业务的单位将「本地语种人事/劳工话题文件」纳入 IM 与邮件网关告警关键词——geofence（T1614.001）说明存在投放地域筛选，东南亚中文圈为在投目标。

4.云存储桶子域泛告警（微步 12 批次 OSS 桶 6/15）：对 *.oss-cn-{beijing|hangzhou|hongkong}.aliyuncs.com 中「数字/随机串桶名 + 近 30 天新建」的解析行为提权告警——银狐载荷中转已三区化。

5.CTG 段服务指纹周期探测：对 14.128.40.0/21 与 202.61.157.0/24 做 446/447/448、9295/9296、21357 端口形态的定期指纹（周级），捕获段内新轮换 IP 的第一时间暴露。

6.处置工具链参考（卡饭 10-11 横评 + 上海交大指引，供应急场景选型）：火绒恶性木马专杀（可修 WDAC，但下载后可能需改名规避针对性拦截，官方无签名版 down7.huorong.cn/hrkill/hrkill_unsign-1.0.0.198.exe）/ 360 系统急救箱（清杀最彻底但对开发环境白名单误伤风险高）/ KVRT；企业侧优先 EDR 全盘 + 计划任务/Run 键/服务三持久化位手工核查，专杀工具仅作无 EDR 环境兜底。

六、参考来源

二次传播甄别（不计增量）：securebulletin / cyberupdates365 / secnews 银狐假软件链文 = 微软 10-03 报告派生（本报 10-03/10-04 已覆盖）；大众网 10-11 CVERC 文 = 5-21 预警原文重索引（三传）；Infoblox PeckBirdy / Check Point Nimbus Manticore / FBI Flax Typhoon 扣押（10-08）= 谱系外。

脚注：CCTGA 专项五批（8-28/9-01/9-11/9-17/9-23）后第六批 21 天未发（超历史最大间隔两倍）；Derp C2 tracker 已于 10 月改版下线，样本级 C2 依赖 Triage 直链（现已恢复）；微步 IoC 总量数字连续 3 日不可读（JS 渲染，待接口恢复）；历史背景（QN Wallpaper 链、KCPhoenix、DoH 链、专项打击成效）见本报 9-01 / 10-03 / 10-04 / 10-08 期。

本日报由自动化脚本生成 · 仅供企业蓝队参考