银狐情报｜官方点名10天不收敛的IP藏身地现形：四点同落一家香港VPS商，Cogent老旧段与跨国钓鱼C2相邻

原创

安全情报官
安全情报官

老肖SOC安全分析笔记

2026年10月30日 09:30
上海

去阅读

银狐情报｜官方点名10天不收敛的IP藏身地现形：四点同落一家香港VPS商，Cogent老旧段与跨国钓鱼C2相邻

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.

头号增量（归属修正）：本报昨日判为「APNIC ERX 历史转移段、归属未公开、无 abuse 处置渠道」的 192.229.x 网段，今日 RDAP 实锤为 ANTBOX NETWORKS LIMITED 名下商业 VPS 网段（192.229.80.0/20，ARIN 2024-10-23 登记）——CCTGA 第七批通报的双点名 IP（192.229.81.81 / 192.229.87.72）+ 微步 30 日批两条新 IP（192.229.92.113 / 192.229.87.164），四点同属该香港 VPS 商。\"无归属无渠道、点名不收敛\"的旧结论作废，修正为\"商业化抗处置机房选型\"：Antbox（AS138995）是主打中港优化线路的港机房 VPS 服务商，官方通报后 10 天仍不收敛，符合银狐\"租用滥用处置响应弱的中小机房\"的一贯偏好。

2.

跨国关联新证：微步 30 日批新 IP 154.36.188.200（域名榜 kgxzgh.net 解析，双榜同源互证）与 JUMPSEC「PAPERMILL」银狐钓鱼活动 C2 154.36.188.201 同 /24 直接相邻——叠加本报 10-23 实锤的 154.39.252.130（Cogent 154.39.16.0 转售段），银狐谱系在 Cogent/PSINet 老旧转售空间的观测点升至 3 处聚集，\"买旧不买新\"的 IP 选型偏好再添实证。

3.

投放并未中断：Derp 样本库 390→411（+21），10/28 单日实际回填 16 个样本（第 12 次 T+1 漏计兑现）——昨日\"零入库\"系采集延迟假象，10/28 为 10 月并列第二大单日投放；10/27 计数微调 2→6。10/28 批次样本哈希已入库，C2 直验因 Triage 报告外链失效顺延。

4.

微步 30 日批大放量：IoC 总量 7,464→7,705（+241，10 月最大单日增幅）；域名榜换血 12/15——仿 Telegram 官网拼写混淆域 sb.telegrem.store、语义域 woshidafuhao.cc、.bond TLD 首见（9.vmnet.bond）、AWS Global Accelerator 前置首见（yk.ggdy.com）；IP 榜 14/15 换血，境内托管罕见三连点：腾讯云双 IP（1.14.146.76 / 150.158.125.36）+ 湖北电信 27.18.154.117（均待核实，详见重点事件 4）。

5.

伪装目标扩容：微步样本痕迹新增 Snipaste 截图工具伪装目录（国产效率工具首见沦陷）与某跨境网络访问工具伪装安装包（该伪装线第 6 个目标，内部归档版保留实名）；历史补注——10-29/30 多渠道集中转发的「DoH 隧道银狐」长文实为瑞星 2026-07-17 报告二次传播，已甄别，其 DoH 通道手法作为历史背景收录脚注。

二、重点事件（按重要性排序）

1. 官方两批点名 IP「藏身地」现形：ANTBOX 香港 VPS 网段四点同段（归属修正）

•时间：本报 RDAP 扩证 2026-10-30（ARIN 登记信息 2024-10-23）

•来源：ARIN RDAP（NET-192-229-80-0-1 / ANTBOXNETWORK-01）；CCTGA 第七批通报（10-20）；微步 30 日批次；Antbox 官网与 APNIC/AFRINIC 注册记录

•要点：

• 192.229.80.0/20（192.229.80.0–95.255）ARIN 登记主体 ANTBOX NETWORKS LIMITED（2024-10-23 注册登记）；段内银狐资产四点：192.229.81.81（第七批点名，yusx04/05/06.cc 承载）、192.229.87.72（第七批点名，yusx04.cc 关联）、192.229.87.164（微步 30 日批）、192.229.92.113（微步 30 日批）。

• Antbox Networks（AS138995）：香港 NWT 机房 VPS/IDC 服务商（官网 antboxnetworks.com），主打中港优化线路（联通 AS9929、移动 CMIN2），机房含香港 BDx/HKIX、新加坡 Global Switch 等；APNIC 侧另有 103.86.64.0/22（ANTBOX1-HK，2024-09 登记），AFRINIC 侧见 154.198.50.0/24——跨三个 RIR 持网的小型多线机房商。

•结论修正：①昨日\"ERX 转移段无 abuse 渠道→点名不收敛\"的解释不成立——ANTBOX 有公开 abuse 通道（[email protected]），不收敛的真实原因是该类机房对滥用举报响应弱或投诉不处理，属\"商业化抗处置机房\"；②官方第七批将 192.229.87.72/81.81 归属地标为\"新加坡(IDC)\"，与 ARIN/官网登记（香港运营、美国注册）存在口径差异，蓝队资产库应以 RDAP+官网交叉为准；③处置价值：该 /20 内已有 4 个银狐观测点（密度 4/4096），达本报\"段封评估\"阈值，建议升级为段级观察清单（见第五节）。

•影响面：全行业。yusx 域族与第七批点名资产的处置从\"无从举报\"转为\"可向机房 abuse 通道施压 + 段级封禁评估\"双路径。

2. kgxzgh.net → 154.36.188.200：与跨国钓鱼活动 PAPERMILL 的 C2 同 /24 相邻

•时间：微步 30 日批次；本报 dig+RDAP 实测 2026-10-30

•来源：微步银狐情报共享站（域名榜 kgxzgh.net / IP 榜 154.36.188.200）；ARIN RDAP（PSINet/Cogent 154.36.128.0–191.255）；JUMPSEC PAPERMILL 报告（2025-12）

•要点：

• kgxzgh.net（share-dns NS 家族，与 yusx/roujizaixian/liyunee 同 NS 体系）当前 A 记录 = 154.36.188.200，与 JUMPSEC 披露的银狐钓鱼活动「PAPERMILL」C2 154.36.188.201 同 /24 且相邻；

• 归属：154.36.128.0/17 为 PSINet, Inc.（Cogent 子公司）转售大段；叠加本报 10-23 样本 C2 154.39.252.130（Cogent-154-39-16 直配段）与 10-29 微步榜 154.39.250.33（同大段），银狐谱系在 Cogent/PSINet 154.x 转售空间已形成 4 点聚集（.188.200/.188.201/.250.33/.252.130）；

• 判断：kgxzgh.net 与 PAPERMILL 是否同运营者仍待核实（同 /24 相邻≠同团伙，中等置信），但\"银狐多分支共用 Cogent 老旧转售段采购渠道\"的置信度显著上升；此前 PAPERMILL（仿大学远程访问门户钓鱼，英语圈高校目标）与银狐主线（中文诱饵）的目标语种差异，在共用基础设施背景下更支持\"同一生态多业务线\"框架。

•影响面：威胁狩猎与归因侧。154.36.188.0/24、154.39.248.0/21 建议纳入出口观察清单。

3. Derp 10/28 回填 16 样本：投放持续，\"零入库\"系采集延迟（数据质量第 12 次验证）

•时间：本报核查 2026-10-30（10/28 计数 T+2 回填）

•来源：Derp ValleyRAT 7 天 C2 Tracker（derp.ca/win\_valley\_rat）

•要点：

• 样本库 390→411（+21）；10/28 单日 16 个新样本（昨日首读 0，第 12 次 T+1 漏计），为 10 月并列第二大单日（仅次于 10/14=46）；10/27 计数 2→6 微调；10/29 T+1 首读 0（10-31 复核）；

• 10/28 批次全部 16 个 SHA256 已入库（节选见 IOC 表），Triage 报告外链今日 404（站外链为 JS 跳转，直验顺延）——按 10 月规律（T+2~T+3 回填后配置可提取），10/31-11/01 完成该批次 C2 提取；

• 监测结论：银狐投放节奏 10 月下旬持续在日均 5-16 样本区间波动，无中断迹象。

•影响面：企业侧维持现有 IOC 更新频率即可；本报明后两日跟进该批次 C2。

4. 微步 30 日批 +241：仿 Telegram 混淆域、GA 前置首见、境内托管三连点（待核实）

•时间：微步「30日更新」批次（本报 2026-10-30 核查）；本报 dig/RDAP 实测同日

•来源：微步银狐情报共享站；本报 DNS/RDAP 验证

•要点：

•IoC 总量 7,464→7,705（+241），10 月最大单日增幅，疑与 10/28 样本潮联动入库；

•域名侧：① sb.telegrem.store（→107.148.231.144，PEG TECH 美国）——telegrem 系 telegram 字母易位混淆域，仿即时通讯官网生态位首见，share-dns NS 家族；② woshidafuhao.cc（→165.154.199.54，Scloud SG）——语义化\"我是大富豪\"；③ 9.vmnet.bond（→104.143.42.5，UDC 香港）——.bond TLD 首见；④ yk.ggdy.com（→76.223.54.146 / 13.248.169.48）——AWS Global Accelerator 前置首见（此前仅有 Cloudflare 前置形态），源站被 GA Anycast 遮蔽，处置需域名层优先；⑤ kauin.cn、feetifu.net、job2.fdwehzitx.cn 当前无解析（未激活/待投放）；⑥ OSS 桶 3/15（bzb102/6y0ier 北京、mm2027 杭州）；⑦ yusx04.cc、gacyryw.com 熟面孔在榜；

•IP 侧（14/15 换血）：① 境内三连点——1.14.146.76 与 150.158.125.36（腾讯云 CN）、27.18.154.117（湖北电信 CHINANET-HB）：银狐关联境内落点此前为孤例（10-29 中国移动 36.140.128.34 待核实），今日同批 3 点，性质待核实（可能为钓鱼页托管/受害侧污染/真实 C2，腾讯云双点建议走云商举报通道核验，暂勿段封）；② 8.218.248.201（阿里云 SG 8.208.0.0/14）——与 ADAMnetworks 实锤的 10 月回退汇聚点 8.218.118.101:5252 同大段，该段银狐观测点再 +1；③ 134.122.132.115——CTG 第五段（134.122.128.0/20）段内第 3 个观测 IP；④ 154.39.250.33（Cogent 大段，见重点事件 2）；⑤ 204.0.56.218（NTT America 204.0.0.0/14，NTT 第 2 点）；⑥ 47.239.119.126（阿里云 HK 47.238.0.0/15）；⑦ 154.219.118.236（Cloud Innovation HK，CI 系第 5 点）；⑧ 45.192.208.50（APNIC PA 段 HK，注册人空白待扩证）；⑨ 156.251.18.113（AFRINIC ERX 熟面孔回归）。

•影响面：DNS/出口层。仿 Telegram 官网域意味着即时通讯客户端下载场景成为新投递入口（员工侧提醒点）。

5. 伪装目标扩容：Snipaste 截图工具沦陷 + 跨境访问工具伪装线第 6 家

•时间：微步 30 日批样本痕迹（本报 2026-10-30 核查）

•来源：微步银狐情报共享站样本痕迹区

•要点：

•Snipaste 伪装目录：C:\Program Files (x86)\Snipaste\Snipaste\ 下多文件落地（j.xml、sxx982j9s1.xml、bindup\_poo.dll、emjio.tmp）——Snipaste 为国产常用截图/贴图工具，效率工具类伪装目标首见；emjio.tmp 与 Roaming\3ZlTpQXWR4JQ\emjio.tmp 同名跨目录，成对落地指纹与 adoresd.dat×UxEnhance64.dll 家族并立；

•某跨境网络访问工具伪装安装包（第 6 个目标，本报内部归档版保留实名）：AppData\Roaming\Copyrig (C) 2026 Zoog...\install\B2190AC...\0VCK74.exe——目录名直接嵌\"Copyright\"错拼\"Copyrig\"，版本号 8.0.9.7；该伪装线至此覆盖 6 款工具（前 5：某跨境访问工具 A/B、订阅配置工具、远程工具、跨境加速器）；

• 其他新 hunting 点：C:\10a0699fa37928d39c\spfirewall.exe（哈希样式根目录+防火墙对抗组件）、C:\Drivers\Fleesimile179\installer.exe 与 C:\Drivers\IpodPolygraph\（臆造词目录族再扩）、Public\Downloads\grDnOa6k\（edge.xml/edge.jpg/rcIb16HX.dat 三件套）。

•影响面：终端 EDR。截图工具与即时通讯客户端是办公刚需，伪装面从\"安装包下载\"延伸到\"日常工具全生态\"。

6. 监测面快照与二次传播甄别

•CCTGA：第九批第 10 天未发（常态窗口 4-30 天）。

•CVERC：无新通报（官网间歇 403，以 10-29 核查为基线：最新银狐专项 5-21）。

•ThreatFox/MalwareBazaar：API 超时（基线维持 12+12 条、最新 10-21，10-25 核查口径）。

•甄别排除（今日不增量引用）：①「HTTPS 隧道里的银狐:DoH 隐蔽通信木马全链路分析」多渠道集中转发（CSDN/聚合站/公众号矩阵，10-29/30）——实为瑞星 2026-07-17 报告二次传播（原始样本 ldplayer9\_ld\_112\_ld.exe 伪装雷电模拟器，DoH 通道发往公共 DNS 端点解析 C2，历史背景见脚注）；② ADAMnetworks VSPerf 博客在英文渠道回流——本报 10-28 已全量覆盖；③ cybersecurityservices.io ValleyRAT 综述——无新 IOC 的内容营销；④ Foresiet「Fake Tax Notice Part II」——发布日期未能核实，其印度/德国/马来/日本税务诱饵线与 47.242.39.192（阿里云 HK）IOC 留档待核实，不入当日增量。

三、技术分析

1. 「抗处置机房」选型定型：从 ERX 误判到 ANTBOX 实锤的教训

昨日将 192.229.x 判为\"ERX 历史转移段\"的根因：APNIC whois 对该段返回 ERX 转移标记（历史分配记录），而 ARIN 侧 2024-10 的 ASSIGNMENT 登记才是当前有效归属——双 RIR 转移空间的归属判定必须以\"最近 last-changed 的 RIR 登记+官网运营信息\"交叉，单一 whois 出口会拿到陈旧记录。ANTBOX 案例修正后的机房画像：银狐偏好\"中小型多线 BGP 机房 + 中港优化线路 + 跨 RIR 持段 + abuse 响应弱\"，与此前 CloudBays（137.220.x）、BGP Consultancy（CTG 系九段）、Cloud Innovation（156.251.x/154.219.x）构成同一类供应商池。对\"官方点名后收敛速度\"的预测模型相应修正：看机房 abuse 实践而非网段登记类型——商业机房中响应弱的（ANTBOX 类）与 ERX 段同样不收敛。

2. Cogent/PSINet 转售空间：银狐第 3 类基础设施池成型

本报基础设施分类至此清晰为三类：①中小 BGP 机房直租（CTG/CloudBays/ANTBOX/Cloud Innovation）；②公有云（阿里云/腾讯云/AWS，兼作掩体）；③老旧直配/转售 IP 空间租赁（Integen 192.252.176.0/20、Cogent/PSINet 154.x、AFRINIC ERX 156.251.x）。第③类的运营特征：无完整 abuse 链路、租约转手频繁、单价低、WHOIS 陈旧——对企业侧的价值是信噪比极高的检测面（正常业务几乎不出现在此类段）。今日 kgxzgh.net→154.36.188.200 与 PAPERMILL C2 相邻，是第③类池内\"多分支共用采购渠道\"的又一次会师。

3. 投递入口生态位：即时通讯官网与效率工具

仿 Telegram 混淆域（telegrem.store）+ Snipaste 伪装目录 + 跨境访问工具第 6 家，银狐投递面的选品逻辑延续\"办公刚需+员工主动搜索\"：即时通讯官网域劫持此前罕见（多为仿安全厂商/远程工具），此入口意味着\"官方下载\"信任链攻击从软件站延伸到通讯工具；结合 GA 前置（yk.ggdy.com）与 Cloudflare 前置（pxxjbh.club）两类 CDN 遮蔽形态，检测重心必须落在\"域名注册行为+DNS 层\"而非 IP 层。

4. ATT&CK 映射（当日增量对应手法）

四、IOC 清单

处置口径：域名族泛拦截优先；ANTBOX /20 升级段级观察；境内 IP 待核实勿直接封禁。哈希截断展示。以下均为 10-30 实测/核查条目。

五、检测与防护建议

1.ANTBOX /20 段级观察升级：将 192.229.80.0/20 加入出口会话观察清单（段内已 4 银狐点）；yusx\*.cc 域族泛拦截维持；有条件的团队可向 [email protected] 提交第七批点名资产举报，验证该机房 abuse 响应实践并沉淀\"机房收敛性\"数据。

2.Cogent/PSINet 154.x 观察清单：154.36.188.0/24 与 154.39.248.0/21 加入出口基线画像（正常业务极少触达）；kgxzgh.net、154.36.188.200/201 双层封禁（域名+IP）。

3.DoH 出口策略复核（结合本次旧文回流的提醒）：银狐谱系已出现借公共 DoH 端点解析 C2 的手法（2026-07 案例，历史背景）——建议网关侧对非浏览器进程发起的 DoH 请求（/dns-query 路径特征）告警，重点覆盖 explorer.exe 等宿主进程；公共 DNS 服务地址本身严禁封禁。

4.即时通讯与效率工具下载场景告警：员工侧提醒覆盖新增入口——Telegram 等即时通讯客户端、Snipaste 等截图工具一律官网/企业软件中心下载；DNS 层对 telegrem*（易位混淆模式）类注册监控可扩展为 telergam/telegarm 等常见易位变体泛规则。

5.境内待核实 IP 处置口径：1.14.146.76、150.158.125.36（腾讯云）与 27.18.154.117（湖北电信）先观察+流量验证（确认是否真有终端外联），确认后优先走云商/运营商举报通道，勿直接段封（境内云段误伤面大）。

6.微步 30 日批落地：+241 增量中域名族（share-dns NS 家族）优先导入 DNS 层；OSS 桶告警策略延续\"桶名白名单+增量桶告警\"；AWS GA 前置域名（yk.ggdy.com）仅域名层封禁有效，IP 层封 76.223/13.248 段会误伤大量合法业务。

六、参考来源

1. ARIN RDAP 注册数据（本报 2026-10-30 查询：192.229.80.0/20 ANTBOXNETWORK-01、154.36.128.0/17 PSINet、104.143.40.0/21 UDC、107.148.0.0/16 PEG TECH、165.154.192.0/20 Scloud、204.0.0.0/14 NTT、1.12.0.0/14 与 150.158.0.0/16 腾讯云、27.16.0.0/12 CHINANET-HB、8.208.0.0/14 ASEPL、134.122.128.0/20 CTG、47.238.0.0/15 ALIBABA-HK）

2. Antbox Networks 官网（antboxnetworks.com，机房与线路信息；AS138995）；APNIC ANTBOX1-HK（103.86.64.0/22）注册记录

3. 微步在线\"银狐\"情报共享站（「30日更新」批次，本报 2026-10-30 核查）— https://s.threatbook.cn/cybercrime/silverfox

4. Derp ValleyRAT 7 天 C2 Tracker（样本库 411、10/28 批次 16 样本，本报 2026-10-30 核查）— https://www.derp.ca/win\_valley\_rat

5. CCTGA 第七批\"银狐\"木马恶意网络资产披露（2026-10-20，经公开渠道发布；第九批第 10 天未发）

6. JUMPSEC《PAPERMILL: Silver Fox Phishing Campaign》（2025-12，C2 154.36.188.201）— jumpsec.com

7. 瑞星《HTTPS隧道里的银狐:一次DoH隐蔽通信木马的全链路分析》（2026-07-17，历史背景；10-29/30 多渠道二次传播已甄别）— https://rayblog.rising.com.cn/tag/popular-threat/

8. ADAMnetworks《ValleyRAT sideloads through a signed Microsoft profiler》（2026-10-22，本报 10-28 已覆盖）— https://adamnet.works/blog/valleyrat-signed-profiler-and-19-byte-text-file

9. CNCERT×启明星辰\"镜昙（G02）\"团伙报告（2026-10-23，背景）；CVERC 官网（最新银狐专项 2026-05-21，10-29 核查基线）

10. 2-spyware ValleyRAT 情报页（abuse.ch 基线 12+12 条、最新 2026-10-21，10-25 核查）— https://www.2-spyware.com/remove-valleyrat.html

历史背景脚注（非当日增量）：银狐 DoH 通道案例（瑞星 2026-07-17 披露）：伪装雷电模拟器安装包（篡改 INNO Setup）→ 白加黑 DLL 劫持 → VMProtect 保护的银狐本体；C2 域名 oidng2.duoshit.com 的解析请求封装 HTTPS 发往公共 DoH 端点（阿里 223.5.5.5/223.6.6.6、谷歌 8.8.8.8），绕过内网 DNS 审计；备用通道为 TCP 自定义协议与标准 HTTPS；C2 落地 IP 51.79.18.52；具备 Telegram 会话目录窃取、进程镂空注入、伪装服务 netcssv 持久化等能力。检测要点：非浏览器进程的 DoH 请求特征 + tdata 目录非官方进程读取。该案例于 10-29/30 被多个内容渠道以「新分析」名义集中转发，实为二次传播，特此说明以防误引。

本报数据质量说明：Derp 滚动窗口最新 1-2 天计数存在系统性漏计/虚高，T+2/T+3 回填定案后引用（本轮 10/28=16 已 T+2 定案、10/29 T+1 未引用）；微步共享站三榜刷新存在 2-3 日周期波动，本批 +241 为 10 月最大单日增幅；跨 RIR 转移网段归属判定以最近登记+官网运营信息交叉验证（ANTBOX 修正案）；境内 IP 与 Foresiet Part II 等无法交叉验证条目一律标注「待核实」。

本日报由自动化脚本生成 · 仅供企业蓝队参考