银狐C2供应商版图同日扩两段：第五个CTG机房段实锤，六连号样本控制端藏身阿里云香港

原创

安全情报官
安全情报官

AI和提效工具实验记

2026年10月22日 09:53
上海

去阅读

银狐C2供应商版图同日扩两段：第五个CTG机房段实锤，六连号样本控制端藏身阿里云香港

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.CTG Server 银狐段位扩至 5 段（本次增补头号）：域名池成员 hscbhjsdbj.cc（10-18 样本 C2）当前解析 134.122.136.35，APNIC RDAP 实锤 CTG122-128-JP（134.122.128.0/20，BCPL4-AP 管理 + IRT-CTG-HK abuse）——与首版已实锤的 kyur7oz.top→202.61.140.141（CTG61-140-SG，第 4 段）构成同日双段新增；五段全部同 abuse 主体 IRT-CTG-HK。CTG 段级封禁清单更新为：14.128.40.0/21、202.61.157.0/24、27.124.12.0/24、202.61.140.0/24、134.122.128.0/20（新增）。

2.六连号样本 C2 47.243.109.132 归属实锤（首版待办②结案）：ARIN RDAP 确认 47.243.0.0/16 = ALIBABA-CLOUD---HK（阿里云香港）——与 CCTGA 第六批官方点名 IP 47.243.168.10 同 /16，「阿里云 HK 推断」从待核实升级为实锤；官方点名与六连号样本投放两条独立线索在阿里云香港 47.243 段会师。

3.articio.top 解析 156.251.11.79（首版待办③部分结案）：与微步热点榜 IP 156.251.11.137（10-16 首见、10-21 再现）同 /24——域名池与微步热点 IP 榜首次在解析层直接合流；该段为 AFRINIC ERX 历史注册空间（归属主体未公开，待核实）。另 huyfggf.cc 当前无 A 记录（首版待办④结案，与「注册-投放-弃用」短周期模式兼容）。

4.首版已报增量（保留）：Derp 库 332→346（+14），10/21 六样本「261020\_1~6.zip」六连号共享 47.243.109.132:5252（6/6 配置全提取）；VHD 18MB 完整包（971eecc…）配置全提取 articio.top:6801-6803（域名池第 11 域，第 6 个 6801-6803 模板域）；lsf168.club 解析 202.61.85.179 与柬埔寨语诱饵线 C2 同 /24——域名池四种落点形态（CTG 直连/HKBN/GALGL/Cloudflare 前置）定型。

5.补录（保留）：瑞星 10-12 三阶段无落盘链（合法企业签名 WinHTTP 下载器 + 公共云存储 + 注入 tracerpt.exe，三源第三次独立出现）。监测面：微步共享站 CSR 盲区第 3 日；CCTGA 第八批未发（第 3 天，常态窗口）；Triage 沙箱页今日间歇不可用，10/20 批次剩余样本 C2 抽验顺延。

二、重点事件

2.1 ★ 头号：CTG Server 第 4、5 段位同日实锤——域名池解析层双突破，五段封禁清单成型

2.2 六连号样本共享 C2 47.243.109.132:5252——阿里云香港实锤，与官方点名 IP 同段

2.3 VHD 完整包配置全提取：articio.top 域名池第 11 域 + 解析合流微步热点段

2.4 域名池↔多线路基础设施合流全景（柬埔寨诱饵线 / HKBN / Cloudflare）

2.5 补录：瑞星三阶段无落盘投递链（10-12 发布，本报漏报）

2.6 次要动态与甄别

•Derp 监测面（增补 T+2 复核）：库 346 持平（今日 09:35 复核无新增）；10/21=6 T+2 复核结案——维持 6 无回填修正（首版待办①结案，第 6 次 T+1 漏计后正常回填节奏）；10/20=9 维持；10/22 计数 T+2 复核顺延至 10-24。10 月 T+2 序列：1/1/4/9/9/13/11/0(?)/7(?)/16/25/9/6。

•Triage 沙箱页间歇不可用（增补）：10/20 批次剩余 4 样本（313c688b/5ebee196/81fb2fc2/1f6466a3 等）C2 抽验两次超时顺延——与 10-16 期间歇 502/CF 拦截模式同构，待恢复后补验。

•微步共享站：CSR 盲区第 3 日（三榜全空、IoC 总量不可读），继续以 CCTGA/Derp/Triage 三源替代覆盖；连续 5 日以上盲区将升级联系微步。

•CCTGA 第八批：未发布（第七批 10-20 后第 3 天，历史间隔 4-30 天，常态窗口）。

•国际/中文二次传播甄别（不计增量）：① Forescout 10-15 ROMULUS ClickFX 平台（Derp 研究页收录的 MKD-CIRT/SecurityWeek 等均其派生）——官方明确与银狐 RomulusLoader 无关，禁入银狐 IOC；② SecLens 352317「10月ValleyRAT活跃度上升并更新CTG Server C2」= 本报 10-13 期内容二次聚合；③ 上海体育大学 10-10 通知 = 旧预警二次下发；④ 百度百科「10-20 CCTGA 公布」条目 = 第七批；⑤ 瑞星博客最新银狐文仍为 10-12（今日核查无新增）。

三、技术分析

3.1 六连号批次加载链（261020\_1~6.zip，Triage 6/6 提取）

钓鱼投递（ZIP 附件，文件名 YYMMDD_N 连号）   └─ 解压 → winhttp.dll（208-219KB，逐样本独立构建）+ 白进程（WINHTTP 白加黑侧载）        ├─ PowerShell 修改 Defender 排除项（扩展名/路径/进程三维，T1562.001）        ├─ 进程注入（T1055）        ├─ 非 C: 盘根路径枚举（T1120，多分区宿主机画像）        ├─ 浏览器信息发现（T1217）+ 外部 IP web 查询 + 注册表国家码 geofence（T1614.001）        └─ C2：47.243.109.132:5252（6 样本共享单点；ARIN 实锤阿里云香港）

要点：① 六样本 SSDEEP 前缀各异（独立构建）但行为签名完全一致——builder 批量出样模式；② campaign\_date 20261019/20261020 跨两天 + 文件名统一 261020——构建（10/19-20）与打包投放（10/20）分离；③ winhttp.dll 体积带 208-219KB 窄幅分布可作侧载 DLL 画像辅助特征。

3.2 域名 C2 池全景（11 域，含今日解析层定性）

判断：① 6801-6803 端口指纹 + .club/.top TLD 组合为标准模板（6 域）；② 域名池落点五种形态并存——CTG 直连 ×2 段、HKBN、GALGL、Cloudflare 前置、无解析，多供应商策略与 C2 样本侧一致，封禁必须域名层优先；③ 单词形 SLD（articio）为池内首个疑似语义化域名（待核实）。

3.3 CTG Server 银狐段位全景（五段，同 IRT-CTG-HK abuse）

3.4 ATT&CK 映射（本日增量）

四、IOC 清单

4.1 新增 C2 与解析（全部本报首见）

4.2 样本哈希（本日新增/定案）

4.3 域名池跟踪（累计 11 域，解析状态见 3.2）

orgg98.club / grxi53.club / dtfva6.club / gntr30.club / pxxjbh.club / lsf168.club / tgeyou.top / kyur7oz.top / articio.top / huyfggf.cc（无解析）/ hscbhjsdbj.cc

五、检测与防护建议

1.CTG 五段封禁清单（升级）：14.128.40.0/21、202.61.157.0/24、27.124.12.0/24、202.61.140.0/24、134.122.128.0/20（增补新增）——五段同 abuse 主体（IRT-CTG-HK），建议出口防火墙 + SWG 对五段任意端口 TLS 外联直接告警；kyur7oz.top、hscbhjsdbj.cc 域名层同步封禁。

2.tracerpt.exe 注入三源规则（瑞星补录触发）：瑞星 10-12 链 + 火绒 8-26 链 + Atos KCPhoenix 链三次独立出现——EDR 关联规则：「合法签名进程发起 WinHTTP/winhttp.dll 加载 → 进程树出现 tracerpt.exe 无 GUI 子进程」直接高危告警。

3.六连号 ZIP 网关正则：附件名 ^(2[0-9]{5})_([0-9]{1,2})\\.zip$ + 附件内含 winhttp.dll 组合直接拦截（10/19、10/20 批次连续两日）。

4.域名池泛解析监控：对 4.3 节 11 域做 PassiveDNS 全历史封禁——已证实五种落点形态（CTG 直连 ×2 段/HKBN/GALGL/CF 前置/无解析），仅封当前 IP 必然漏。

5.微步盲区期替代监测：共享站连续 3 日不可程序化读取期间，Derp 样本库 + Triage 配置提取 + CCTGA 节奏三源维持覆盖；连续 5 日以上盲区升级联系微步。

6.VHD/IMG/ISO 容器附件策略统一：.vhd.zip / .img.zip / .iso.zip 双层打包附件在邮件网关统一强制沙箱 detonation。

六、参考来源

监测待办（明日复核）：① Derp 10/22 计数 T+2 复核（10-24）；② 134.122.128.0/20 段内轮换扫描（第 5 段位，/20 规模存在继续出 IP 空间）；③ 47.243.0.0/16 阿里云香港段银狐资产盘点（官方 47.243.168.10 + 样本 .109.132 已知两 IP）；④ 156.251.11.0/24 归属扩证（AFRINIC ERX 段，注册主体未公开）；⑤ articio.top whois（rdap.org 对 .top 无响应，待注册商侧查询）；⑥ Triage 恢复后 10/20 批次剩余 4 样本 C2 补验（313c688b/5ebee196/81fb2fc2/1f6466a3）；⑦ CCTGA 第八批窗口（4-30 天）；⑧ 微步共享站盲区持续天数记录（今日第 3 日）；⑨ 202.146.222.95（MEGA-II）段内同端口形态扫描。

版本说明：本版为 2026-10-22 同日二次核验增补版（v2，09:35）。相对 09:09 首版的新增内容：CTG 第 5 段位（hscbhjsdbj.cc→134.122.136.35）、47.243.109.132 阿里云香港实锤、articio.top 解析 156.251.11.79 与微步热点段合流、huyfggf.cc 无解析确认、Derp 10/21=6 T+2 复核结案、Triage 间歇不可用记录。首版其余内容（六连号批次、VHD articio 配置、瑞星补录、柬线合流）全文保留。

本日报由自动化脚本生成 · 仅供企业蓝队参考