银狐C2追踪连续三天静止：深度休眠还是监测盲区？

原创

安全情报官
安全情报官

AI和提效工具实验记

2026年10月6日 10:18
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

银狐C2追踪连续三天静止：深度休眠还是监测盲区？

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

过去 24 小时，银狐（Silver Fox / ValleyRAT / Winos 4.0 谱系）官方与厂商侧无任何新增原始披露：微步银狐情报共享站 IoC 总量 7,227 条连续第三日持平、事件库头条仍为 10-03 收录的微软假冒软件链报告；CCTGA 专项第六批通报持续未发布（9-28 转常态化后节奏未明）；国际侧 10-05 全部主流聚合源（CyberRecaps / HIPTHER / NetworkTigers 等）零银狐条目。

本日最值得蓝队关注的信号在数据源侧：Derp ValleyRAT 7 天 C2 tracker 的滚动窗口已连续 3 天（10/3–10/5）未滑动——正常情况下窗口应每日推进，当前仍停留在 9/28–10/4（12 C2、Last activity 10/2）。这产生两种待分辨的假设：投放真休眠（官方专项打击后的深度静默延续）或采集端盲区（管线故障/观测覆盖缺口）。本报给出两种假设的判别路径（见 3.1 节），并在结论落地层面维持一致动作：存量 30 天回撞排查不放松。

二次传播噪声达到近期高峰：本日一次性甄别 5+ 条旧闻，其中包括去年同期的微步《银狐九月总结》月报（2025-10-20 发布）被搜索引擎重新索引流入结果页，其 PoolParty 注入、C2 54.46.23.169 等数据均为一年前信息——严禁当作新情报入库。这再次验证本报规律：官方增量真空期与二次传播噪声浓度正相关。

二、重点事件

1. Derp 数据管线连续 3 天未滑动：投放深度静默与采集盲区待辨（本日头条）

•时间：2026-10-06 08:55 访问确认

•来源：Derp ValleyRAT 7d C2 Tracker

•要点：

• 当前 7 天窗口仍为 9/28–10/4（12 唯一 C2 = 11 IP + 2 主机名），与 10-04、10-05 两期报告完全一致——窗口未推进、每日新增序列未更新（停在 9/28=9 → 9/29=1 → 9/30、10/1=0 → 10/2=2）、Last activity 停在 10/2；

• 按正常滚动逻辑，今日窗口应为 9/30–10/6；10/3–10/5 三个自然日的数据缺失，无法判断静默期是否延续或已再启投放；

• 结构面不变：HK 10 / SG 1 / US 1；托管商 Amazon 2 / Antbox Networks 2 / AROSSCLOUD 2 / Alibaba 1 / CORENET CLOUD 1 / CTG Server 1；

• 10/2 的 +2 C2（均 HK）与 3 个新样本 SHA256 计数距今 4 天，继续维持可信判定（回填门槛 ≥3 天已过，无修正迹象）。

•影响面：谱系 C2 供给情报进入 4 天盲区。两种假设的处置含义不同但动作兼容——若为真休眠，存量 C2 回撞排查价值上升（潜伏载荷可能仍在网内）；若为采集盲区，新投放可能在未被观测的情况下进行，狩猎规则与 ASN 监控不能因「静默」而松懈。

2. 全谱系 24 小时零披露：三源交叉确认

•时间：2026-10-06 09:00 检索完成

•来源：微步银狐情报共享站 + 公开检索（CCTGA 渠道）+ 国际聚合源

•要点：

• 微步共享站：IoC 总量 7,227 条持平（10-03 批次后连续第三日未刷新）；收录事件 1,189 个、持续狩猎 1,198 天，均无变化；事件库最新条目仍为 10-03「微软披露 2026 年假冒软件下载传播恶意安装程序影响中文用户（含 IoC）」；

• CCTGA：第六批通报未发布；历史五批节奏为 8-28 / 9-01 / 9-11 / 9-17 + 9-23（第五批），9-28 官宣转入常态化治理后新节奏尚未确立；

• 国际侧：CyberRecaps 10-05 日报、HIPTHER 10-05 Roundup、NetworkTigers 10-05 周报条目集中在 NetScaler/FortiMail 零日、Citrix KEV、KillSec 下架、Apple CoreGraphics 等，均无银狐/ValleyRAT/Winos 条目。

•影响面：无直接增量。情报真空期内建议维持存量规则运营，重点工作转向排查与噪声过滤（见第五节）。

3. 二次传播噪声高峰：一年前微步月报被重索引，5+ 条旧闻集中甄别

•时间：2026-10-06 检索发现

•来源：公开检索甄别（详见下表）

•要点：本日检索结果中银狐相关内容几乎全部为旧闻二次传播，逐条甄别如下：

•影响面：一年前月报的重索引具有较强迷惑性——标题含「九月总结」且发布主体（微步）权威，若仅看标题极易误判为本月新报告。情报消费时必须核对发布年份与原始 URL 时间戳。

4. 承接：10-02 恢复投放增量的排查落地提醒（延续 10-05 期）

•时间：2026-10-02 首现（10-05 期确认）

•来源：Derp tracker（同上）

•要点：3 个新样本 SHA256（3e90a76f… / 5c1c6ec4… / 5fc62cfd…）+ 2 个新 C2（均 HK）。截至今日，公开沙箱（Triage）对该批样本的分析报告仍不充分（搜索仅返回历史关联条目），加载链细节继续列待核实。

•影响面：尚未入库的企业应完成 4.2 节哈希入库与 30 天回撞；已入库企业维持监控。

三、技术分析

3.1 深度静默期解读框架（本日方法论增量）

Derp 窗口停滞 3 天产生两种竞争假设，判别路径如下：

当前倾向：假设 A 略占优——微步事件库（10-03 后无新事件）与 Derp（10/2 后无新 C2）呈现同步低频，且与官方「专项转常态化」的节奏预期一致；但置信度仅中等，因为三源中两源共享国内观测生态，无法完全排除共同盲区。若明日（10-07）Derp 窗口仍停在 9/28–10/4，则连续 4 天冻结将把假设 B 权重上调。

3.2 ATT&CK 映射表（本窗口承接 + 无新增说明）

本日无新样本披露，映射表延续 10-05 期（数据源：Derp 家族画像 + 10-03 DoH 链）：

3.3 历史回顾（折叠说明，非本日增量）

•DoH 全链路（10-03 补录，0xfisher/博客园）：雷电模拟器伪装 → wjcapture.dll 白加黑 → Update.xml 种子循环 XOR → VMProtect → DoH 三级降级通信 + 键盘记录 + tdata 窃取 + RC4 分块外传。C2 oidng2.duoshit.com（PassiveDNS 复核中，待核实）。

•甲蚁（G01）团伙（9-24/9-29 官方深析）：1,060 个仿冒域名、盗用真实公民身份注册、目标转向 FinalShell/Xshell/SecureCRT 运维工具。

•CCTGA 五批通报（8-28 ~ 9-23）+ 专项阶段总结（9-28）：处置 IP:端口 2,588 个、控制域名 8,587 个、境内被控端 -55%。

•微步 2025-09 月报（去年，本日重索引流入）：PoolParty 线程池注入、IE 目录乱码白加黑、桌面快捷方式触发后门、钓鱼站多次跳转。手法谱系仍有效，数据（C2 54.46.23.169 等）为一年前，仅作 TTP 溯源参考。

四、IOC 清单

4.1 本日新增

无。 过去 24 小时无新增可信 IOC（微步持平、Derp 窗口冻结、厂商零披露）。

4.2 承接增量（10/2 首现，Derp 关联样本——最近一次可信新增，未入库企业请补入）

窗口聚合（9/28–10/4，冻结快照）：唯一 C2 12（11 IP + 2 主机名）；HK 10 / SG 1 / US 1；托管商 Amazon 2、Antbox Networks 2、AROSSCLOUD 2、Alibaba 1、CORENET CLOUD 1、CTG Server 1；Last activity 2026-10-02。

注：Derp 页面仅公开聚合统计，具体 C2 IP/主机名清单请登录 tracker 原页 获取，本报不转引未逐条核实的地址。

4.3 承接存量（高危复核项，沿用 10-03/10-05 期）

五、检测与防护建议

终端侧（EDR）

1.静默期排查不降级：Derp 已 3 天无新 C2 数据，若为真休眠则潜伏载荷价值上升——对过去 30 天终端外联日志回撞：CCTGA 五批通报 IP（重点 177.4.3.0/24、8.218.x、104.21.x/172.67.x CF 段）+ Derp 历史窗口 C2 段 + 4.2 节三个 10/2 哈希；命中即按失陷处置（远控事件须延伸电诈风险告知——金蝉变现链）。

2.DoH 检测上移（承接 10-03，最高优先级不变）：对终端访问 223.5.5.5、8.8.8.8 等公共 DoH 端点的 HTTPS 流量提取元数据告警——URI 路径 /dns-query、Content-Type application/dns-message（RFC 8484）；金融/财务终端建议直接阻断未备案 DoH 端点。

3.狩猎规则沿用：UxEnhance64.dll 通配（C:\Users\Public{6位随机}\）、Wmi.ahk、HookProxy.dll、drivers\etc 下 hosts.exe 异常实体、IE 目录乱码命名白加黑组件（C:\\Program Files\\Internet Explorer\\{乱码}\\，承接历史手法）。

网络侧（NGFW / NDR）

1.长尾 ASN 监控维持：Antbox Networks、AROSSCLOUD、CORENET CLOUD 三个小众托管商 ASN 留在出站观察名单——采集盲区假设下，新 C2 可能优先落入此类「雷达低亮度」机房；命中即高置信告警。

2.邮件网关：继续拦截仿冒安装包主题（雷电模拟器、打印机驱动、夸克浏览器、输入法、AI 客户端、Teams 等近期诱饵族），附件类型覆盖 .exe/.img/.zip 及双扩展名。

情报运营

1.二次传播过滤（本日重点教训）：对「银狐」关键词新文强制核对发布年份——本日出现去年 10-20 微步月报被重索引流入搜索结果，标题与本月时间线高度迷惑（「九月总结」）；建议入库流程增加「原始 URL 时间戳 > 内容语义」的硬校验。

2.待核实跟进（承接）：oidng2.duoshit.com PassiveDNS；DoH 链投递渠道细节；52pojie RunPE 帖发布日期；10/2 三个新样本加载链细节（沙箱报告仍不充分）。

六、参考来源

本报由自动化流水线生成（automation-1784941326019）。数据截至 2026-10-06 09:00 GMT+8；「待核实」条目禁止直接入库，须原始来源复核；标注「旧文」的参考条目仅作甄别记录与 TTP 溯源，不构成增量。

本日报由自动化脚本生成 · 仅供企业蓝队参考