银狐C2藏进电信家宽段：官方预警披露全新控制端，一周连投48个样本后突然收手

原创

安全情报官
安全情报官

AI和提效工具实验记

2026年10月12日 09:16
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

银狐C2藏进电信家宽段：官方预警披露全新控制端，一周连投48个样本后突然收手

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.头号增量：高校官方预警渠道披露全新 ValleyRAT C2 14.128.47.87（端口 446/447/448）。南京农业大学校园网络安全专题网 10-08 转发「据有关部门通报」的风险提示（上海体育大学 10-10 同步下发），给出「近一个月活跃」C2 共 3 个——其中 103.45.66.18:441/442/443、192.253.225.173:6666/8888 为卡巴斯基 8-31 QN Wallpaper 报告已知（本报 9-01 全量覆盖），14.128.47.87 为本报历史无记录的全新 IOC（grep 全量日报确认）。该 IP 属深圳电信地址段，与银狐 C2 常用的 HK/海外托管形态不同，待核实其托管性质（见第三节分析）。

2.ValleyRAT 10 月投放 streak 中止观察：Derp 样本库 62 持平、10/10=0（已达 T+2 可信门槛）、10/11 暂 0——10/3-10/9 连续 7 天放量后首次出现零日；按历史「脉冲投放」规律，单零日不构成趋势判断，明日 10/11 计数回填后定性。

3.微步共享站连续第二日未刷新（仍「11日更新」批次）：热点三榜、痕迹池与昨日零变化；IoC 总量仍不可读（JS 渲染问题未解）；三榜大换血类素材今日缺失，监测面增量集中在官方预警渠道。

4.Triage 沙箱连续第二日 502 宕机：10/9 回填 8 样本的 C2 补验持续受阻，156.247.40.74 同一性假设维持「待核实」状态；样本级 C2 管线单点依赖风险持续暴露。

5. CCTGA 第六批通报 20 天未发（超历史最大间隔两倍）；甄别面：CVERC 10-09 大众网回流文 = 5-21 官方预警原文二次传播、gbhackers 日本税务钓鱼 = ESET 3-27 旧文，均不计增量。

二、重点事件

事件 1（今日头条）：官方预警渠道披露全新 C2 14.128.47.87:446/447/448——QN Wallpaper 波次「近一个月活跃」基础设施清单落地

•时间：NJAU 发布 2026-10-08；SUS 发布 2026-10-10；本报 10-12 检出并覆盖

•来源：南京农业大学校园网络安全专题网《关于疑似存在与银狐组织投递ValleyRAT后门通联的风险提示》（「据有关部门通报」）；上海体育大学信息化办公室安全通知

•要点：

• 通报核心 IOC：近一个月活跃 C2 3 个 + 关联域名 1 个——14.128.47.87（端口 446/447/448）、103.45.66.18（441/442/443）、192.253.225.173（6666/8888）、qnwallpaper.keansoft.cn

•增量判定：103.45.66.18 与 192.253.225.173 出自卡巴斯基 Securelist 8-31 报告（本报 9-01 期全量覆盖并已给封禁建议）；qnwallpaper.keansoft.cn 为被篡改滥用广告软件 QN Wallpaper 官网（合法站点）；14.128.47.87 为本报全部历史日报无记录的新 IP，三连号端口 446/447/448 紧邻 443 的手法与该波次另两个 C2 完全一致（441/442/443、6666/8888 同款多端口冗余）

• 官方定性：ValleyRAT 为银狐组织常用远控；投递路径为「搜索结果广告位 → 仿冒钉钉/腾讯会议安装包 → DLL 侧加载 + 多载荷调度」——与卡巴斯基报告的「广告联盟网络分发 FS\SETUP\\* 安装器 + 篡改 QN Wallpaper」链路同源

• 传播范围：至少 2 所高校在 10-08~10-10 窗口下发校级通知，属教育行业垂直扩散信号

•影响面：教育行业终端；14.128.47.87 应立即入出口封禁与 30 天日志回撞；三 C2 组合可作为 QN Wallpaper 波次的「资产组指纹」用于横向扩线

事件 2：Derp 样本面 10/10=0 达可信门槛——10 月投放 streak 首次中断，观察非定案

•时间：核实于 2026-10-12 09:15

•来源：Derp ValleyRAT Malware Profile（样本库 62 持平）

•要点：

• 页面 24 条样本窗口仍为 10/8-10/9（13+11），10/10 与 10/11 均无样本条目；10/10=0 已达 T+2 复核门槛，确认当日无新增入库；10/11=0 为 T+1 初判

• 10 月序列修正口径：10/3=1 → 10/4=1 → 10/5=4 → 10/6=9 → 10/7=9 → 10/8=13 → 10/9=11 → 10/10=0（可信）；第一周 15 个、第二周（10/8-10/10 截断口径）样本量仍为 9 月中旬以来高位

• 历史参照：9 月形态为「日均 0-1 + 单日脉冲（9/17=20、9/19=10）」，零日为常态；10/3-10/9 连续 7 天放量才是异常态——单日归零更接近「回归常态」而非「活动终止」

• 库内 62 样本中 10 月占 39 个（63%），10.4 活动（C2 156.247.40.74:9295/9296）主体未见收敛通报

•影响面：中文区企业终端；156.247.40.74 阻断与 8 哈希检索集建议维持；若明日 10/11 回填仍为 0，则「10 月放量周期结束」判断升级

事件 3：微步共享站连续第二日未刷新——批次静止符合历史 2-3 天规律上限

•时间：核实于 2026-10-12 09:05

•来源：微步在线银狐情报共享站

•要点：

• 热点 IoC 面板标签仍为「11日更新」，三榜（域名 15/IP 15/Hash 30）与昨日完全一致——11 批次素材（PyInstaller 工具箱全家桶、_MEI0000138c2 指纹、htrjhj.fit↔落盘同名）延续有效

• 历史规律：10-09/10-10 曾连续 2 日未刷后于 11 日恢复；再上一次为 3 日静止（9-15~9-17）——若明日仍为 11 批次则打破「2-3 天恢复」规律，需按异常处理

• IoC 总量数字连续第 2 日不可读（JS 动态渲染），总量曲线持续中断（待核实）

•影响面：无直接新增；_MEI0000138c2\\_pack_tools\\ 狩猎规则与 OSS 桶子域告警策略延续昨日建议

事件 4：Triage 连续第二日 502——10/9 批次 C2 补验连续顺延（待核实）

•时间：核实于 2026-10-12 09:20

•来源：tria.ge（Cloudflare 502 错误页）

•要点：

• Derp 样本条目直链（如 tria.ge/261009-v6134ahy2l）持续返回 502，昨日建立的「Derp→Triage 样本级 C2 替代管线」连续第二日不可用

• 受阻项：10/9 回填 8 样本的 valleyrat 配置提取（验证是否仍为 156.247.40.74:9295/9296）；若补验出现新 C2，10.4 活动的基础设施轮换判断需重估

• 伴随 Derp 10/10-10/11 零新增，两条观测线（收样、C2）同步静默——与「回归常态」解释兼容

•影响面：C2 补验顺延至 Triage 恢复（本报例行跟踪项）

事件 5（甄别）：过去 24h 厂商零新原始披露——两条回流文与一批无关项均不计增量

•时间：2026-10-11 ~ 10-12 检索

•来源：多源检索

•要点：

•CVERC 10-09 大众网回流文（「当心银狐木马病毒攻击」）：正文与 CVERC 官网 5-21 预警报告《关于针对我国用户的「银狐」系列木马病毒攻击活动的预警报告》逐段比对一致（文件名特征/IE 目录投放 log.dll + installer.exe 白加黑/:8880/getinstall64 回联特征均出自 5-21 原文），为搜索引擎重索引二次传播，不计增量——但侧面反映 Q3 人员调整话术季（违纪名单/裁员补偿）仍在官方关注中

•gbhackers 3-27 日本税务钓鱼文（引 ESET welivesecurity 3 月报告）：旧闻，不计

• Mallory.ai Silver Fox actor 页与 ValleyRAT 家族页例行更新（Updated today 标签）：数据源均本报已覆盖（QN Wallpaper 链、2 CVE、13 actor 关联），聚合页无新情报

• CloudSEK/GridinSoft 10-08 NEBULA 假 AI SDK npm 投毒案：目标为开发供应链（npm preinstall 投递 Windows RAT），与银狐投放渠道无交集，不计

• FBI 10-08 Integrity Tech（Flax Typhoon）域名扣押、CrowdStrike 韩国银行 ARTEX 案、荷兰 AIVD 边缘设备通告：均与银狐谱系无关

•影响面：无

三、技术分析

3.1 新 C2 14.128.47.87 分析与扩线建议

IP:        14.128.47.87 端口:       446 / 447 / 448（三连号，紧邻 443） 地址段:     14.128.x.x（深圳电信家宽/IDC 混用段，待核实托管性质） 形态一致性:  446/447/448 ↔ 同波次 103.45.66.18:441/442/443 ↔ 192.253.225.173:6666/8888            ——三 C2 均为「单 IP 多端口冗余」配置模板，同一资产组置信度高 波次归属:   QN Wallpaper / 仿冒钉钉·腾讯会议安装包投递链（Kaspersky 8-31 首报波次） 活跃窗口:   「近一个月」（即 9 月上旬~10 月上旬，NJAU 转发官方监测口径）

•段位异常：银狐 C2 既往以 HK/海外云托管为主（Derp 历史窗口 HK 占比 80%+、微步热点榜 AWS/阿里 HK 混合），14.128.x 为中国大陆电信段——两种解释：① 肉鸡/跳板中转（银狐 360 Netlab 9-14 报告已披露 Cloudflare Workers 中转池架构，境内中转节点是已知模式）；② 官方「有关部门」监测口径中的境内被控端/中转资产。处置上不影响封禁动作，但溯源归组需 PassiveDNS/whois 扩线后再定性（待核实）

•检索建议：全网出口对 14.128.47.87 的 446/447/448 会话（回撞 30 天）；14.128.47.0/24 段内其他 IP 的同端口形态；与 103.45.66.18/192.253.225.173 的证书/UA 关联

•与微步热点榜关系：本期（11 批次静止）IP 榜无 14.128.x——官方监测源与微步商业狩猎源覆盖面差异的正常体现，不代表矛盾

3.2 ValleyRAT 10.4 活动状态板（投放节奏观察）

活动标记:   campaign_date = 2026.10.4（主体）+ 2026.9.3（ZillberReleyHost 大包） 已核 C2:   156.247.40.74:9295 / :9296（双端口冗余，4 样本共享）            161.248.15.160:80 / :443（+ 127.0.0.1:80 本地兜底） 10月序列:  1/1/4/9/9/13/11/0（10/3→10/10，10/10 已达 T+2 可信） 第二周:    10/8-10/10 口径 24 个（若 10/11 回填 >0 则上修） 待补验:    10/9 回填 8 样本 C2（Triage 502 连续第二日）

• 投放面结论：10/3-10/9 放量期共 48 个样本（10 月口径 39 个为 10.4 活动相关主体）；10/10 归零后 10.4 活动是否转入间歇期待 10/11 回填确认；封禁与检索集建议在 C2 补验完成前维持不变

•Derp 数据纪律延续：单日计数 T+2 复核制第 3 次执行（10/9=11 已于昨日 T+2 核定；10/10=0 今日核定）

3.3 ATT&CK 映射（本期增量项）

注：本节仅列本期增量映射；10.4 活动与工具箱全家桶的完整 ATT&CK 表见本报 10-10 / 10-11 期第三节。

四、IOC 清单

4.1 官方预警渠道新披露（本期核心增量）

4.2 活动级 C2（延续有效）

4.3 检索集（10/9 回填 8 样本，C2 待补验）

4.4 微步 11 批次热点（静止第二日，延续有效）

五、检测与防护建议

1.14.128.47.87 立即入出口封禁并回撞 30 天日志（端口 446/447/448 全形态）；同时以「446/447/448 紧邻 443 端口形态」对 14.128.47.0/24 段做同模板资产扫描式排查——该波次三 C2 均为单 IP 多端口冗余模板，段内轮换概率高（177.4.3.x 段四批次点名先例）。

2.QN Wallpaper 波次资产组三件套回撞：14.128.47.87 + 103.45.66.18 + 192.253.225.173 作为组指纹在出口日志、DNS 解析记录、TLS 会话三层检索；命中任一资产的终端按「仿冒钉钉/腾讯会议安装包」链路处置（IE 目录 log.dll 白加黑、:8880/getinstall64 回联特征复核）。

3.教育/科研行业通告：官方预警已下沉到高校（NJAU/SUS 样本），建议同业单位对「搜索引擎广告位下载钉钉/腾讯会议安装包」行为做全员通告——该投递路径为卡巴斯基 8-31 报告与本波次官方通报共同确认的主通道。

4.10/9 批次 8 哈希检索集与 156.247.40.74 阻断维持（C2 补验未完成前不撤防）；10/11 Derp 回填计数明日核对（若仍 0，10 月放量周期定性为结束，封禁时效重估）。

5.微步批次连续第 3 日静止预案：明日若仍为「11日更新」，打破历史 2-3 天恢复规律——按平台侧数据管线异常处理（联系渠道或以事件库/痕迹池替代观测），勿将静止误读为威胁收缩。

6.Triage 恢复后立即补验 10/9 批次 C2（本报例行）：结果直接决定 10.4 活动基础设施是否已轮换——若出现新 C2，封禁清单需即时扩充。

六、参考来源

二次传播甄别（不计增量）：大众网 10-09 CVERC 文 = 5-21 官方预警原文重索引；gbhackers 日本税务 = ESET 3-27 旧文；Mallory.ai actor/家族页 = 例行聚合更新；CloudSEK NEBULA npm 投毒 = 开发供应链线与银狐无关；FBI Integrity Tech 扣押 / CrowdStrike ARTEX / 荷兰 AIVD = 谱系外事件。

脚注：CCTGA 专项五批（8-28/9-01/9-11/9-17/9-23）后第六批 20 天未发；Derp C2 tracker 已下线，样本级 C2 提取依赖 Triage（连续 502 中）；微步 IoC 总量数字因 JS 渲染连续 2 日不可读（待核实）。历史背景（QN Wallpaper 链全貌、KCPhoenix、DoH 链、专项打击成效）见本报 9-01 / 10-03 / 10-04 / 10-08 期。

本日报由自动化脚本生成 · 仅供企业蓝队参考