银狐情报｜IDC 首个银狐专项市场洞察发布；CCTGA 通报 IP 九天不收敛，关联域族扩至 3 域

原创

安全情报官
安全情报官

老肖SOC安全分析笔记

2026年10月29日 10:03
上海

去阅读

银狐情报｜IDC 首个银狐专项市场洞察发布；CCTGA 通报 IP 九天不收敛，关联域族扩至 3 域

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.

过去 24 小时银狐主线无新增原始披露：Derp 样本库 390 持平（10/28 零入库首读、10/27=2 T+2 定案维持、10/26=5 T+3 定案维持，本轮回填周期全部结案）；微步共享站维持「28日更新」批次（IoC 7,464 持平，盲区第 1 日）；CVERC 最新银狐专项仍为 5-21、CCTGA 第九批第 9 天未发。样本静默期以产业定调与基础设施扩证补位。

2.

头号增量：IDC 发布《中国\"银狐\"木马专项防护解决方案市场洞察，2026》（文档号 CHC54950626，2026 年 10 月）——首个将\"银狐\"作为独立解决方案品类做市场洞察的国际分析机构报告，核心判断\"银狐已从单一远控木马演变为规模化、模块化、服务化的攻击生态，AI 进一步降低变种生产门槛\"，并列出企业侧四大防护缺口；24 小时内（10-28 17:24）联软科技入选解读落地，此前绿盟、奇安信已各自发布入选通稿，产业侧集中传播。

3.

官方点名资产\"九天不收敛\"+ 域名族扩容：CCTGA 第七批（10-20）通报 IP 192.229.81.81 当日实测仍活跃，yusx04.cc / yusx05.cc（奇安信专题滚动区新条目）/ yusx06.cc 三域当前全部解析该 IP——编号域族从通报时 2 域扩至 3 域，且单 IP 承载整族域名；该 IP 属 APNIC ERX 历史转移段（归属未公开、无 abuse 处置渠道），企业侧封禁是当前唯一落地处置。

4.

Integen 老旧 /20 三线会师（本报 10-24 待办③结案）：微步热点 IP 192.252.185.92 经 ARIN RDAP 实锤归属 INTEGEN-2 直配块（192.252.176.0/20）——与镜昙 G02 官方点名 C2 192.252.187.52、Netresec AtlasRAT TLS C2 192.252.180.45 三点同 /20，G02 线与 AtlasRAT 线在注册商外的第二层基础设施关联（继共用 C2 不同端口证据后）再添实锤。

5.

奇安信专题滚动区新条目定性（滚动更新，10-29 核查）：有道云笔记伪装安装包挂雅加达区 OSS 桶（tudinetr.oss-ap-southeast-3，桶活跃）；wienoljwtw.cc 解析 121.127.253.206（MEGA-II HK，该托管商第 2 落点，由单点转双点）；134.122.135.10:6801 落 CTG 第五段 134.122.128.0/20 段内（第 2 个段内观测 IP）；微步 28 日批新 IP 归属扩证收官：Turing / Sondercloud / IENS-SG / HostUS 四家新托管商入图。

二、重点事件（按重要性排序）

1. IDC 首发\"银狐\"专项市场洞察：产业化生态定调 + 四大防护缺口

•时间：报告 2026 年 10 月发布；联软科技入选解读 2026-10-28 17:24（网易号），绿盟、奇安信入选通稿近期陆续发布

•来源：IDC 官网文档页（CHC54950626，10 页，IDC Perspective，作者 Austin Zhao）；联软科技解读（网易号 10-28）；绿盟技术博客；奇安信（zone.ci 转载）

•要点：

• 官方定调（IDC 中国网络安全市场高级研究经理赵卫京）：银狐\"从单一恶意程序对抗向规模化、产业化和智能化方向发展，影响从终端安全事件延伸至企业数据、资金和业务安全\"；生成式 AI 降低攻击内容与恶意代码生产门槛，传统特征查杀+人工响应模式失效；市场竞争重心从\"样本覆盖\"转向\"未知威胁发现、攻击链分析、快速响应、持续运营\"。

• 四大防护缺口：①终端防护深度不足（无文件执行/内存加载/DLL 侧载/异常驱动识别有限，BYOVD 致盲场景\"部署了产品但防护失效\"）；②入口管控缺位（邮件+即时通信+协作平台文件链接无统一管控，员工自行下载软件普遍）；③内网横向防护不足（单点失陷即横向渗透核心业务）；④（联软解读版）安全运营响应闭环不足。

• 风险传导链：终端被控 → 窃取文件/凭证/聊天信息 → 内网跳板扩散 → 员工账号被冒充管理人员实施转账诈骗（与 CVERC 5-21 变种预警中\"杜振华：进入核心业务部门发起虚假转账或篡改收款人\"的官方表述互证）。

•影响面：产业面。该报告是\"银狐=独立威胁品类\"的第三方权威背书，预示政企侧专项预算与采购潮；对蓝队的直接价值是四大缺口可直接作为安全建设自查清单（见第五节）。

2. 第七批点名 IP 192.229.81.81 九天不收敛，yusx 编号域族扩至 3 域

•时间：CCTGA 第七批通报 2026-10-20 21:46；本报 DNS 实测 2026-10-29

•来源：CCTGA 第七批通报（经公开渠道发布）；奇安信银狐专题滚动 IOC 区（yusx05.cc 新条目，10-29 核查）；本报 dig 实测

•要点：

• yusx04.cc / yusx05.cc / yusx06.cc 三域当前 A 记录全部为 192.229.81.81；第七批通报时官方列该 IP 关联 yusx04.cc，域名族已扩容至 3 域且仍单 IP 承载。

• 归属定性：192.229.81.81 经 APNIC RDAP 为 ERX 历史转移网块（ERX-NETBLOCK，2008 年注册转移空间、注册国 AU、无公开运营商标签）——与本报长期追踪的 156.251.x（AFRINIC ERX）、192.229.87.x 同属\"老旧转移空间+归属不透明\"类别，此类段无 abuse 处置渠道，官方点名后收敛速度显著慢于有 abuse 通道的商业托管段（对照案例：43.225.47.57 点名后 10 天未收敛）。

• 处置口径：域名层泛拦截 yusx\*.cc + 出口防火墙封禁 192.229.81.81；IP 层\"取证快照\"性质（随时可换段），域名族优先。

•影响面：全行业（该 IP 第七批披露日控规模未单列，yusx 域族 getinstall64 路径形态为下载器分发端点）。

3. Integen 192.252.176.0/20 三线会师：镜昙 C2、AtlasRAT C2 与微步热点同段

•时间：本报 RDAP 实测 2026-10-29（微步 192.252.185.92 入榜于 28 日更新批次）

•来源：ARIN RDAP（INTEGEN-2 直配，2013-06-28 注册）；本报历史观测（G02 官方 C2 192.252.187.52，CNCERT×启明星辰 10-23 报告；AtlasRAT C2 192.252.180.45，Netresec 10-12 报告）

•要点：

• 三个独立情报源 IP（.180.45 / .185.92 / .187.52）全部落 INTEGEN-2 直配块 192.252.176.0/20 内，三点跨 /24 同 /20；

• 该 /20 为 2013 年注册的老旧 ARIN 直配空间，与本报 10-22 实锤的 154.39.252.130（Cogent 154.39.16.0 转售段，JUMPSEC PAPERMILL C2 同段）同属\"银狐租用老旧/转售 IP 空间\"的选型偏好；

•归因价值：G02（镜昙）与 AtlasRAT 两条线此前已有\"共用 C2 不同端口\"证据（Netresec 原文），本次在第二层基础设施（同 /20 老旧直配空间）再会师，\"同运营商供应链/同采购渠道\"假设置信度上升；注意三点非同 /24，尚不能断言同机，段级关联标注为中等置信。

•影响面：威胁狩猎侧。建议将 192.252.176.0/20 加入观察清单（仅 3 点，暂不建议直接段封）。

4. 奇安信专题滚动区新条目：有道伪装包、雅加达 OSS 桶、MEGA-II 第 2 落点、CTG 段内第 2 IP

•时间：滚动更新（页面无逐条日期），本报核查并实测 2026-10-29

•来源：奇安信银狐威胁活动专题（ti.qianxin.com/topic/silver-fox）；本报 DNS/RDAP 实测

•要点：

•有道云笔记伪装包：tudinetr.oss-ap-southeast-3.aliyuncs.com/youdao\_win-x64-8.7.2.zip——伪装网易有道云笔记 Windows 客户端（版本号 8.7.2）；桶位于阿里云 OSS 雅加达区（ap-southeast-3），DNS 实测解析 47.254.218.78 活跃。至此银狐 OSS 桶区域分布达：北京、杭州、新加坡（ap-southeast-1）、吉隆坡（ap-southeast-5）、雅加达（ap-southeast-3）五区，叠加腾讯 COS 与 AWS S3，云存储面持续扩散。

•wienoljwtw.cc → 121.127.253.206（MEGA-II HK）：MEGA-II 由本报 10-22 单点（样本 C2 202.146.222.95）扩为双点；长随机串 .cc 域名形态与 mlcrosoft/ga\* 族 DGA 一脉相承。

•134.122.135.10:6801：落在 CTG 第五段 134.122.128.0/20 段内（边界 .143 以内），为该段内第 2 个观测 IP（此前 10-22 域名池 kyur7oz.top 侧链 .136.35）；6801 端口与域名池模板端口对（6801/6803）一致——CTG 段内 IP 直连 + 域名池端口模板双特征。

•202.61.85.50:2222：HKBN 202.61.85.0/24 段内第 5 个观测 IP（.47/.76/.173/.179 之后），马来语税务诱饵线同段；端口 2222 首见。

• 其余滚动区 IP：36.140.128.34:9527（中国移动 36.128.0.0/10 境内段，银狐 C2 罕见境内落点，待核实）、13.237.147.19:443（AWS 悉尼）、160.124.23.163、154.23.197.103、154.19.248.31、210.16.163.133:8888、78.17.19.243:20010、156.251.18.10:443/80、156.251.16.147:7788。

• 域名滚动区另见：kufp16.club（当前无解析，未激活/待投放）、xjsjkjdsjjd.s3.ap-southeast-1.amazonaws.com/11133.zip（AWS S3 随机串桶，载荷直链）。

•影响面：企业出口与 DNS 层。伪装目标扩至网易有道（此前 WPS、向日葵、Chrome、搜狗输入法、爱思助手、spacedesk、某跨境访问工具等已沦陷序列再 +1）。

5. 微步 28 日批新 IP 归属扩证收官：四家新托管商入图

•时间：微步「28日更新」批次；本报 RDAP 扩证 2026-10-29

•来源：微步银狐情报共享站；APNIC/ARIN RDAP

•要点：

• 23.248.202.170 与 23.248.226.130 → Turing（23.248.192.0/18，ARIN，2025-05 注册，与 10-27 榜 170.62.130.22 同主体 IPXO 租赁生态）——段内双 IP；

• 45.119.98.6 → Sondercloud Limited HK（2015 年注册段）；

• 43.248.173.13 → IENS-SG（新加坡，2022 年注册段）；

• 23.133.4.26 → HostUS（HOSTUS-IPV4-9）；

• 206.119.174.71 → APNIC ERX 历史段（ARIN-CIDR-BLOCK 转移空间，2026-09 last-changed）。

• 至此银狐 C2/分发面托管商图谱（本报持续维护）再添 4 家；Turing 段 2025 年新注册 + IPXO 租赁生态与 170.62.x 观测连成一片。

•影响面：威胁情报侧——新增托管商段可作为 hunting 优先级输入。

6. 监测面快照与二次传播甄别

• Derp：390 持平；10/25=10 定案、10/26=5 定案（T+3 无修正）、10/27=2 定案（T+2）、10/28=0 首读（10-30 复核）——本周回填周期全部结案，无第 12 次漏计。

• 微步：三榜维持「28日更新」（盲区第 1 日，历史规律 2-3 日恢复，明日关注）。

• abuse.ch：ThreatFox ValleyRAT 标签页当前 404（接口变更），以 2-spyware 10-25 核查为基线：ThreatFox 12 条 / MalwareBazaar 12 条，最新 2026-10-21，持平。

• CVERC：官网核查（10-29）最新银狐专项仍为 5-21 预警；信息安全摘要区最新为 10-22 Weaxor 勒索预警。

• CCTGA：第九批第 9 天未发（常态窗口 4-30 天）。

• 甄别排除（今日不增量引用）：Derp 研究区重推 Howler Cell Chrome 伪装链研究（Cyderes，2025-10-22 首发，历史）；Check Point「Cracking ValleyRAT」builder 逆向（2025-11 发布，历史背景见脚注）；央视微博银狐变种预警（5-21 通报的传播）；上海理工 10-13 通知（旧预警下发）；moxso/hacks.gr Chrome 假站文（Morphisec 2026-02 案例二传）。

• 补充：中国教育和科研计算机网（CERNET）10-27 面向高校财务/行政岗解读 G02 报告（10-23 CNCERT×启明星辰）——高校侧二次传播，无新 IOC，提示\"搜索引擎下载软件+处理财税文件\"两类高校场景风险。

三、技术分析

1. yusx 编号域族运营模式：单 IP 高密度承载 + 点名后不迁移

第七批通报已过 9 天，yusx 域族未见\"点名即弃用\"式的整族迁移（对照第八批资产 gadad.bvndjx.cn 等 3 天内迁移的先例）。差异点在于承载段性质：第八批资产多挂商业托管段（有 abuse 通道、服务商处置压力），而 192.229.81.81 处 ERX 历史转移空间（无归属运营商标签、无处置渠道），团伙维持成本与被处置风险双低——\"点名即弃用\"规律的适用边界 = 资产所处段是否有 abuse 处置通道，可据此预判后续各批点名资产的收敛速度。

2. 老旧直配/转售 IP 空间选型偏好成型

Integen 192.252.176.0/20（2013 年直配）三点会师 + Cogent 154.39.16.0 转售段两点 + ERX 空间多点，银狐基础设施\"买旧不买新\"的选型偏好清晰：老旧段 WHOIS 信息陈旧、滥用处置链路断裂、单价低。检测侧应对：对 2015 年前注册的 ARIN 直配块与 ERX 转移块内的对外会话做基线画像（此类段正常业务流量极少，异常外联信噪比高）。

3. 云存储桶区域扩散：五区 OSS + COS + S3

雅加达 OSS 桶（有道伪装包）补齐 OSS 第五区（北京/杭州/新加坡/吉隆坡/雅加达）。桶命名规律分化：语义伪装桶（tudinetr=印尼语\"结果\"、lhdn=马来西亚税务局缩写、baiduyu=百度云拼音）与随机串桶（xjsjkjdsjjd）并存。语义桶名与诱饵语种强绑定（tudinetr 配雅加达区、lhdn 配吉隆坡/香港区），可作为桶-诱饵-目标区域三元关联的弱指纹。

4. ATT&CK 映射（当日增量对应手法）

四、IOC 清单

处置口径：域名族泛拦截优先；ERX/老旧直配段 IP 封禁但随时可换，\"取证快照\"性质。哈希当日无新增（样本面零入库）；以下均为 10-29 实测/核查条目。

五、检测与防护建议

1.yusx 域族 + 单 IP 双层封禁（落地优先级高）：DNS 层泛拦截 *.yusx*.cc（覆盖后续编号扩容）；出口防火墙封禁 192.229.81.81 全端口；对该 IP 的历史外联做 30 天回溯排查（第七批披露日控规模未单列，按\"下载器分发端点\"性质排查 %Public%、%AppData% 新增可执行文件与计划任务项。

2.老旧 IP 段基线画像（Integen /20 与 ERX 空间）：将 192.252.176.0/20、192.229.81.0/24（ERX）加入出口会话观察清单——2013-2015 年前注册的 ARIN 直配块与 APNIC ERX 转移块在正常企业业务中几乎没有合法会话，任何外联即高价值告警；暂不段封（当前观测密度 3 点/20 位段），再命中 1-2 点即升级段封建议。

3.云存储桶泛告警：对 *.oss-ap-southeast-3.*、*.oss-ap-southeast-5.*、*.oss-cn-beijing/hangzhou.* 下随机串/语义伪装桶名的 URL 请求做内容告警不封禁（阿里 OSS 为正常业务高频依赖，桶名白名单化后对增量桶告警）；S3 随机串桶（如 xjsjkjdsjjd）直接封禁。重点排查下载类 URL 特征：/youdao_win-x64-*.zip、/getinstall64、/11133.zip 等版本号/安装包命名。

4.软件下载来源管控对照 IDC 缺口自查：①终端——BYOVD 防护（Microsoft 易受攻击驱动阻止列表启用验证）、内存加载/DLL 侧载行为检测开级；②入口——IM/邮件/协作平台文件传输统一管控，重点提醒员工网易有道云笔记等工具一律官网/企业软件中心下载（新增伪装目标）；③横向——办公/财务网段细粒度隔离，财务岗终端单独策略组；④运营——建立银狐专项 IOC 周更机制（本报 IOC 表可直接导入）。

5.CTG 段与 HKBN 段端口扫描监测：134.122.128.0/20（段内已知 2 IP）与 202.61.85.0/24（段内已知 5 IP）对 6801/6803/2222/7865 等历史端口的外联监测；CTG 九段清单继续维持段级封禁基线（本报 10-28 版）。

6.微步盲区应对：共享站三榜连续 2-3 日不刷新属常态（历史规律），明日仍盲则第 2 日计数；企业侧勿依赖单一情报源，奇安信专题滚动区 + Derp + abuse.ch 三源互备（今日即为例证：增量主要来自奇安信滚动区）。

六、参考来源

1. IDC，《IDC Perspective：中国\"银狐\"木马专项防护解决方案市场洞察，2026》（文档 CHC54950626，2026-10 发布）— https://my.idc.com/getdoc.jsp?containerId=CHC54950626

2. 联软科技《\"银狐\"专项防护方案获 IDC 重点解读》（网易号，2026-10-28 17:24）— https://dy.163.com/article/LABHHAVU0552F7P9.html

3. 绿盟技术博客《入选 IDC 银狐专项市场洞察》（产业面，无新 IOC）— https://blog.nsfocus.net/（银狐专项条目）

4. 奇安信银狐木马威胁活动专题（滚动 IOC 区，本报 2026-10-29 核查）— https://ti.qianxin.com/topic/silver-fox

5. 微步在线\"银狐\"情报共享站（「28日更新」批次，本报 2026-10-29 核查）— https://s.threatbook.cn/cybercrime/silverfox

6. Derp ValleyRAT 7 天 C2 Tracker（本报 2026-10-29 核查）— https://www.derp.ca/win\_valley\_rat

7. CCTGA 第七批\"银狐\"木马恶意网络资产披露（2026-10-20 21:46，公开渠道）；第八批披露（2026-10-23，经\"十二师在线\"/网易号发布）

8. CNCERT×启明星辰\"镜昙（G02）\"团伙攻击态势深入分析报告（2026-10-23 17:53）；中国教育和科研计算机网高校场景解读（2026-10-27）— https://www.cernet.edu.cn/xxh/ji\_shu\_ju\_le\_bu/wlaq/202610/t20261027\_2786986.shtml

9. CVERC 官网（最新银狐专项预警 2026-05-21；本报 2026-10-29 核查无新通报）— https://www.cverc.org.cn/head/zhaiyao/news20260521-yhyj.htm

10. APNIC/ARIN RDAP 注册数据（本报 2026-10-29 查询：192.229.81.81、121.127.253.206、192.252.185.92、23.248.192.0/18、45.119.98.6、43.248.173.13、23.133.4.26、206.119.174.71）

11. 2-spyware ValleyRAT 情报页（abuse.ch 基线 12+12 条、最新 2026-10-21，2026-10-25 核查）— https://www.2-spyware.com/remove-valleyrat.html

历史背景脚注（非当日增量）：Check Point《Cracking ValleyRAT: From Builder Secrets to Kernel Rootkits》（2025-11 发布）——基于公开泄露的 Winos4.0 builder 与开发结构完成全组件逆向：19 主插件+24 辅助插件；驱动插件内嵌基于开源 Hidden 项目改造的内核级系统启动级组件，利用 2013-2014 年过期但技术有效的证书触发微软遗留驱动签名例外，可在全补丁 Windows 11（含 HVCI/Secure Boot）加载；2024-11~2025-11 观测约 6,000 相关样本、85% 集中于 builder 泄漏（2025-03 GitHub）后半年。该报告同时指出 builder 公开后归因复杂化——与本报\"银狐谱系多分支运营\"观测一致。今日 Derp 研究区重推此文，注意与当日增量区分。

本报数据质量说明：Derp 滚动窗口最新 1-2 天计数存在系统性虚高/漏计，须 T+2/T+3 回填定案后引用（本轮 10/25=10、10/26=5、10/27=2 均已定案）；微步共享站三榜刷新存在 2-3 日周期波动；奇安信专题滚动区无逐条时间戳，本报仅采信可交叉验证条目（DNS 活性/端口形态/段位一致性），无法验证者标注「待核实」。

本日报由自动化脚本生成 · 仅供企业蓝队参考