银狐情报｜云桶占域名榜三分之二创纪录：AWS香港区首入列，一日冒出四家新C2机房含欧洲首落点

原创

安全情报官
安全情报官

老肖SOC安全分析笔记

2026年11月2日 09:25
上海

去阅读

银狐情报｜云桶占域名榜三分之二创纪录：AWS香港区首入列，一日冒出四家新C2机房含欧洲首落点

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

过去 24 小时样本面与基础设施面双活跃,三条主线:① 微步「02日更新」批次给出结构性信号——今日热点域名榜云存储桶占比升至 10/15(66.7%)创本报监测以来新高,其中 AWS S3 香港区(ap-east-1)桶首度入列,银狐分发链\"云原生化\"进一步实锤,处置重心继续向\"云商举报联动\"倾斜;② 同批 IP 榜 15 条全换血,本报 RDAP 全量定性后确认 4 家托管商首入银狐谱系(香港 HNCloud、香港 HKCloudX、荷兰 Snel.com、湖北飞讯),其中荷兰节点为银狐基础设施欧洲首落点,腾讯云双段双点、阿里云香港 /16 第 4 点同步落锤;③ 山石网科 10-30 下午发布虚拟机保护壳对抗深度分析,披露一阶段 shellcode 的 x86 指令虚拟化封装及 NtTraceEvent 首字节 4C→C3 一字节盲化废掉用户态 ETW 遥测的 EDR 对抗手法,并放出 10 个新样本 MD5;Derp 库 411→447(+36),11/1 最新样本 C2 落在 CTG 第十段(202.61.160.0/22),CTG 段位单月三连扩后出现段内第三点。瑞星 10-29 披露的\"显卡解壳\"变种(Trojan.ShellCodeRunner/x64!1.14802)作为 24-48h 边缘增量一并收录。官方面:CCTGA 第九批第 12 天未发,CVERC 无新通报。

二、重点事件

1. 微步域名榜云桶占比 66.7% 创新高,AWS S3 香港区桶首度入列

•时间:微步共享站「02日更新」批次,2026-11-02 查询

•来源:微步在线\"银狐\"情报共享站

•要点:今日热点域名榜 15 席中云存储桶占 10 席,超 10-24 期的 6/15(40%)创监测以来新高。分布:阿里云 OSS 9 桶三区均衡(北京 3:7y0z2j/6y0ier/zlq2s4,杭州 3:26nn/upitem/mm2027,香港 3:731down/new2027/oss2027)+ AWS S3 香港区 1 桶:oppressively.s3.ap-east-1.amazonaws.com(谱系首见)。这是继 10-27 AWS EC2 香港 IP(18.167.107.230)入榜后,AWS 第二条产品线(S3 对象存储)且首次落地香港区落地银狐分发链。桶命名两条新特征:new2027/oss2027 同字号\"2027\"双桶(疑为年度批次命名,对齐 2027 年份切换的预注册批次);数字前缀桶(731down/26nn/6y0ier/7y0z2j)延续。非桶域名仅 5 席:wfmwsj.net、wtkblq.com、kbbtah.net、gacyzuz.com、gacyryw.com(gacy为 ga DGA 族已知前缀形态)。IoC 总量 7,379(较 10-30 期 7,705 为平台侧清理/批次口径波动,-326,与 10-24 期 -50 清理模式同类,非真实缩减)。

•影响面:企业出网侧\"可执行内容下载\"告警面必须覆盖 *.amazonaws.com 与 *.aliyuncs.com 自定义桶域;云商举报通道(AliCloud intl-abuse / AWS abuse 表单)成为处置主路径,域名层拦截时效已跟不上桶的批量注册节奏。

2. IP 榜 15 条全换血,4 家托管商首入谱系,欧洲(荷兰)首落点出现

•时间:同上批次;RDAP 核查 2026-11-02

•来源:微步共享站 + ARIN/APNIC/RIPE RDAP 注册数据

•要点:本报对 15 条新 IP 逐一 RDAP 定性(12 条落锤,3 条 IANA stub 待扩证),银狐 C2 托管商名录单日 +4 家,为监测以来最多的单日之一:

•38.47.207.95 = HONG KONG COMMUNICATIONS INTERNATIONAL CO.,LIMITED(HNCloud,38.47.192.0/18,ARIN)——registrant 为观塘工业区注册的香港公司,全部联系人角色(admin/abuse/noc/tech)集中为同一自然人(alan alan,[email protected]),2023-10 注册、last-changed 2026-10-28(5 天前刚变更),典型\"一人全角色\"小体量机房;

•107.151.244.208 = HKCLOUDX-4(VpsQuan L.L.C. 转 HKCloudX 运营,107.151.192.0/18,ARIN)——注册主体为美国科罗拉多 VpsQuan,实际运营与 abuse 联系人为香港葵涌个人(qu ming,[email protected]),又一\"壳注册+香港个人运营\"形态;

•185.62.56.182 = NL-SNEL(Snel.com B.V.,荷兰鹿特丹,RIPE,/32 PA 精确分配)——银狐基础设施欧洲首落点(此前谱系 C2 分布为港/新/美/日/马/韩/中,无欧洲),Snel.com 为荷兰 VPS 商,单 IP 精确分配形态(非整段),INFRA-AW 有 abuse 通道([email protected]),用途待核实;

•103.39.67.8 = FXNET 湖北飞讯网络(十堰,103.39.64.0/22,APNIC)——境内中小 IDC 首次入谱系,abuse 联系方式为个人 QQ 邮箱,与 10-30 期湖北电信 27.18.154.117、腾讯云两点(1.14.146.76 + 本期 118.25.151.128,后者经本报 RDAP 实锤 = TENCENT-CN 118.24.0.0/15)构成境内四点三主体格局(云大厂/省电信/中小 IDC 各一);

• 其余落锤:121.127.254.125 = MEGA-II IDC(121.127.254.0/24)——与本报 10-20 样本 C2 202.146.222.95 同供应商第二点;47.243.112.232 = ALIBABA-CLOUD---HK(47.243.0.0/16)——该 /16 银狐第 4 点(109.132/.168.10/.109.132 之后);118.128.151.51 = KT 韩国电信——与本报 10-26 期 AtlasRAT TLS C2 域 laicaishuli.com 的 A 记录双源互证(微步榜↔本报 DNS 复核);38.165.10.240 = Cogent 38/8 转售空间(与 154.36/154.39 Cogent 系谱系相邻);20.187.181.244 = 微软云香港第 2 点在榜;两条旧 C2 复现活跃:161.248.15.160(NetForge 马来西亚,9.3 线)、192.229.92.113(ANTBOX 段,官方第七批关联段)。IANA stub 待扩证:103.71.48.92、47.86.107.81(10-28 已见,阿里云 HK 带推断维持)。

•影响面:银狐 C2 供应商池持续\"长尾化\"——头部 CTG/ANTBOX/阿里云之外,一次性小机房与个人运营 /18 段快速轮换,纯 IP 封禁清单模式失效加速;境内三主体 IP 建议走云商/运营商举报核验,不做段封(腾讯云与湖北飞讯均为主流业务承载段);荷兰首落点出现后,欧洲方向机房(RIPE 空间)应纳入采购监控视野。

3. 山石网科披露银狐虚拟机保护壳对抗细节:NtTraceEvent 一字节盲化废 EDR 遥测

•时间:2026-10-30 14:29(过去 24h 内发布)

•来源:山石网科新视界(网易号)《对抗银狐虚拟机保护机制:指令级行为分析与启发式代码检测全解析》

•要点:① 银狐下载器一阶段 shellcode 采用虚拟机保护(x86 指令打散重写为自定义字节码,由内嵌解释器逐条执行),同段功能每个样本字节码形态完全不同,YARA 等二进制特征匹配确认失效;沙箱通常只能抓到解密后的二阶段 shellcode;② 山石给出两路检测:启发式代码分析(识别字节码+解释循环的 VM 结构特征)+ 指令级行为分析(shellcode 的 API 定位流程绕不过:PEB→已加载 DLL 链表→kernel32 导出表解析 LoadLibraryA/GetProcAddress/Sleep,该行为链同批样本完全一致);③ 最高价值披露:样本以纯内存写将 ntdll!NtTraceEvent 入口首字节 4C 改为 C3(RETN),用户态 ETW 上报必经出口被一字节盲化,该进程内全部用户态 ETW 遥测即刻失效——纯内存写不经过任何可被 hook 的 API,用户态 inline hook 完全不可见;④ 附加对抗行为:rdtscp 指令循环忙等反沙箱;⑤ 文末放出 10 个最新银狐样本 MD5(见 IOC 清单)。

•影响面:对 EDR 厂商与自研监控团队,NtTraceEvent 首字节完整性校验应立即纳入检测项;对蓝队,蓝队侧\"ETW 日志突然静默\"本身应作为失陷信号;沙箱环境需引入 GPU/rdtscp 兼容与指令级监控才能覆盖此类样本。

4. CTG Server 段位扩至第十段后出现段内第三点,11 月投放持续绑定 CTG

•时间:Derp/Triage 2026-11-01 样本;RDAP 复核 2026-11-02

•来源:Derp ValleyRAT 7d Tracker + Triage 报告 261101-af81ssgz6q

•要点:11/1 最新样本(SHA256 b292553214c1…,380KB DLL,valleyrat\_s2)提取配置 C2=202.61.160.181:886,与本报 10-28 期样本 C2(同 IP 同端口)精确复用,并再次坐实 202.61.160.0/22 = CTG160-SG(BGP Consultancy/IRT-BGPNL-HK)。至此该段内已观测 3 点:.181(样本×2)/.183(G02 官方 C2)/.251(本报 10-22 样本)。CTG 段位 10-27 单日 5→8、10-28 +1 至 9 段、11-01 第十段确认,单月三连扩且 11 月首批样本即落新段;该样本行为面含 T1614(System Location Discovery)/T1614.001(System Language Discovery)语言门控,与既有 geofence 特征一致。Derp 库 411→447(+36):10/29 回填 0→3、10/30 回填 13→17(第 14 次 T+2 漏计兑现)、10/31=11(T+2 待复核)、11/1=1。

•影响面:CTG 十段清单(见检测建议)段级封禁优先级维持最高;202.61.160.0/22 段内 .181/.183/.251 三点已聚,可执行段内同端口(886/6666/8888/667)轮换扫描。

5. 瑞星披露\"显卡解壳\"新变种(24-48h 边缘增量补录)

•时间:2026-10-29 09:50(瑞星投稿 FreeBuf,本报 10-30 期后补录技术细节)

•来源:FreeBuf《银狐木马接连变招:瑞星能明确检出》

•要点:瑞星安全研究院在\"点击安装简体中文包.msi\"变种(Trojan.ShellCodeLoader/AHK!1.147BC,28 引擎仅 2 检出)之后,又捕获检测名 Trojan.ShellCodeRunner/x64!1.14802 的新变种:借助显卡(GPU)打开/解密恶意代码再送回内存执行——缺少所需 GPU 支持的自动分析环境中恶意流程无法展开,分析难度显著提升。这与本报此前记录的 PNG 尺寸失配隐写、VM 保护壳共同构成银狐\"环境依赖型免杀\"三板斧。

•影响面:沙箱与检测流水线需配置 GPU 直通或 GPU 仿真环境;静态扫描对该类样本检出率维持 1-6/28 的低位,网关侧多层引擎不能作为唯一防线。

6. 监测面与甄别

•CCTGA 第九批:第 12 天未发(常态窗口 4-30 天,第八批 10-23 后消化期延续);

•CVERC:无新银狐专项通报(基线仍为 10-23 Weaxor 预警);

•云南交通职业技术学院 10-30 校园风险提示(原文):银狐作为三类风险之一被提醒(\"警惕银狐木马变种\"),但同文主通报的 176.97.117.201 与 web.updatesharing.com 属 USB 移动介质蠕虫类事件,非银狐 IOC,勿并入处置清单;校园预警面持续扩散但无新样本线索;

•奇安信银狐专题页:无新报告(滚动 IOC 区维持);

• 搜索重推的《军用级ValleyRAT失控》等文为 Check Point 2025-11 报告二传,无新增量。

三、技术分析

3.1 山石披露的 VM 保护壳 + ETW 盲化链(当日核心增量)

检测侧结论:二进制特征(YARA)对一阶段失效已由厂商实证;有效抓手是VM 结构启发式与API 定位行为链(ETW/指令级监控);NtTraceEvent 首字节校验为新增高价值检测点。

3.2 云桶分发结构(域名榜 10/15)

\"2027\"字号双桶 + 三区 3×3 均衡布局,与本报 10-21 期火山引擎 TOS 双桶、10-24 期官方 G02 报告 13 云桶相互印证:分发层多云冗余已成银狐标准架构。

3.3 本日新入谱系托管商画像(RDAP)

四、IOC 清单

哈希一律截断展示;境内 IP 建议举报核验后再处置;标注「复现」者为历史 IOC 重新活跃。

五、检测与防护建议

1.【终端/EDR】NtTraceEvent 首字节完整性校验(山石 10-30 披露):监控 ntdll!NtTraceEvent 入口字节被改为 C3(RETN)的内存写事件;\"进程 ETW 事件流突然静默\"本身触发告警;rdtscp 高频循环列为沙箱/反调试嫌疑指令组合。

2.【网关/出网】云桶可执行内容下载告警面扩容:域名榜 2/3 为云桶的现状下,对 *.aliyuncs.com(oss-cn-\*)与 *.amazonaws.com(s3.ap-east-1 等)的非文本类对象下载行为告警;桶名纯数字/短随机串权重上调;处置走云商 abuse 通道(AliCloud [email protected]、AWS report 表单)而非仅本地封禁。

3.【封禁清单】CTG 十段段级封禁维持最高优先级:14.128.40.0/21、202.61.157.0/24、27.124.12.0/24、202.61.140.0/24、134.122.128.0/20、27.124.17.0/23、27.124.40.0/21、202.79.164.0/22、202.61.160.0/22(段内 .181/.183/.251 三点已聚,可加做 886/6666/8888/667 端口轮换探测);ANTBOX 三段(192.229.80.0/20、103.86.64.0/22、154.198.50.0/24)延续。

4.【新增监控段】今日 4 家新托管商段位纳入狩猎基线:38.47.192.0/18(HNCloud)、107.151.192.0/18(HKCloudX)、103.39.64.0/22(湖北飞讯)、185.62.56.0/22(Snel.com);命中即升级——两类香港个人运营 /18 与荷兰单点 /32 均为\"用完即弃\"高风险形态。

5.【境内 IP 处置纪律】腾讯云(1.14.146.76/118.25.151.128)、湖北电信(27.18.154.117)、湖北飞讯(103.39.67.8)四点三主体一律先举报核验后处置,禁止直接段封(均为主流业务承载段,误伤面大;走 [email protected]、运营商投诉通道、[email protected] 飞讯通道)。

6.【沙箱/分析环境】GPU 与指令级监控补齐:瑞星\"显卡解壳\"变种(1.14802)在无 GPU 环境不展开,山石一阶段 VM 壳在纯行为沙箱漏检——分析流水线至少一路开 GPU 直通,检测侧增加 VM 保护结构启发式与 PEB→导出表 API 定位行为链规则。

7.【情报甄别】校园预警类通知(如云南交通职院 10-30)中银狐多为附带提醒,同文其他 IOC(USB 蠕虫 176.97.117.201/web.updatesharing.com)禁止并入银狐处置清单;Check Point 2025-11 报告二传文无增量,引用需回原始日期。

六、参考来源

历史背景脚注(非当日增量):Check Point《Cracking ValleyRAT: From Builder Secrets to Kernel Rootkits》(2025-11)基于泄露 builder 的全组件逆向,是\"VM 保护壳/驱动插件\"话题的原始深挖文献;CTG Server 九段格局成型过程见本报 10-13 至 10-28 期;ANTBOX 归属修正(192.229.80.0/20)见本报 10-30 期。

本日报由自动化脚本生成 · 仅供企业蓝队参考