银狐情报｜C2供应商一天进账两个机房段：CTG段位扩至13个，阿拉伯语财务诱饵首次现身

原创

安全情报官
安全情报官

老肖SOC安全分析笔记

2026年11月5日 09:27
上海

去阅读

银狐情报｜C2供应商一天进账两个机房段：CTG段位扩至13个，阿拉伯语财务诱饵首次现身

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.CTG Server 段位单日 +2 扩至 13 段，样本与情报双源落锤：11/4 投放样本 C2 202.95.13.142:6666/8888 与微步 05 批次热点 IP 202.95.14.247 经 RDAP 分别实锤为 CTG95-13-HK（202.95.13.0/24） 与 CTG95-14-HK（202.95.14.0/24），两段为 2024-08-23/28 相隔 5 天注册的兄弟段，abuse 联系人同为 IRT-CTG-HK / [email protected]——CTG 在银狐 C2 版图的段位从 11 段增至 13 段，仍居单一供应商榜首。

2.诱饵语种首现阿拉伯文：11/2 批次 ISO 容器样本（文件名 كشف التسوية المالية.11.2.pdf\_08c1.iso，阿拉伯语「财务结算披露」）经复核确认为银狐谱系第 6 种诱饵语种（简中/繁中/英语/马来语/印尼语之后），C2 复用本报 10-23 实锤的阿里云新加坡 43.98.80.16:5252（campaign 20261026），载荷链含 VSPMsg.dll 侧加载组件与 ws.png 隐写图片（546KB）。

3.Derp 样本库 463→485（+22），11/3 从 0 大幅回填至 13（T+1 漏计规律第 16 次兑现），11/2 由 8 修正为 10；11 月日均投放维持高位（当前序列 10/13/1）。

4.微步 05 批次恢复刷新：域名榜呈「DGA 短随机域 + 云桶 + 编号子域」混合结构（云桶 5/15），IP 榜阿里云系 6/15 集中在榜，ANTBOX 段第 5 点、腾讯云海外段（TCLOUDNET）首见。

5. CCTGA 第九批通报第 14 天未发；CVERC 无新通报（403 基线维持）；国际检索均为旧文二传（CloudSEK 印度税务线为 2025-12 旧披露重推，已甄别不计增量）。

二、重点事件

事件 1：CTG Server 双新段落锤，段位扩至 13——银狐最大 C2 供应商版图继续膨胀

•时间：2026-11-04/05（样本入库与 RDAP 核验）

•来源：Derp 样本 261104-evdwessw5q（Triage 配置提取）、微步银狐共享站 05 批次、APNIC RDAP

•要点：

• 11/4 投放样本（32F5F12DC1…B6.exe，113KB，ValleyRAT v1.0 stager）配置 C2 = 202.95.13.142:6666 / :8888（经典端口对），RDAP 实锤 CTG95-13-HK（202.95.13.0/24，注册 2024-08-23）；

• 微步 05 批次热点 IP 榜同窗口出现 202.95.14.247，RDAP 实锤 CTG95-14-HK（202.95.14.0/24，注册 2024-08-28）——与 .13 段相隔 5 天注册，同一 abuse 主体（IRT-CTG-HK）；

• 样本侧与情报侧在同一天各自命中一个新段，互为独立信源，落锤置信度高；

• CTG 段位清单（13 段）：14.128.40.0/21、202.61.157.0/24、27.124.12.0/24、202.61.140.0/24、134.122.128.0/20、27.124.17.0/23、27.124.40.0/21、202.79.164.0/22、202.61.160.0/22、118.107.40.0/21、27.124.33.0/24、202.95.13.0/24、202.95.14.0/24（后两段为本期新增）。

•影响面：CTG 系段位已覆盖 13 个 CIDR 段，段内轮换是银狐 C2 生存的主策略；逐 IP 封禁持续失效，段级封禁清单的落地优先级进一步提升。

事件 2：阿拉伯语「财务结算」诱饵首现——语种版图扩至第 6 种，载荷链复用阿里云 SG + PNG 隐写

•时间：2026-11-02 入库（Derp 11/2 批次，本期复核补录）

•来源：Derp 样本 261102-snjpzsxs4q（Triage 沙箱）

•要点：

• ISO 容器（谱系第 7 例）文件名 كشف التسوية المالية.11.2.pdf_08c1.iso（阿拉伯语「财务结算披露」，11.2 为日期戳）；

• 攻击链：ISO → 内层 كشف التسوية المالية.11.2.pdf.exe（367KB，ValleyRAT v1.0）+ VSPMsg.dll（9KB 侧加载组件，组件名与 ADAMnetworks 10-22 披露的 VSPerf 白利用链呼应）+ ws.png（546KB，PNG 隐写载荷，与 G02 镜像团伙 PNG 隐写手法同源）；

• C2 = 43.98.80.16:5252，复用本报 10-23 期实锤的阿里云新加坡段 43.98.80.0/24 首个 C2（campaign 20261026，第 2 样本指向该 IP）；阿里云 SG 掩体从「首见」进入「复用」阶段；

•勒索标签复核（昨日待办①部分结案）：该样本（11/2 批次 4 个 ransomware 标签样本之一）ATT&CK 映射中无 T1486（数据加密）与 T1490（抑制恢复）行为，标签来自 ValleyRAT 家族级签名关联，倾向「引擎按家族特征打标」而非实际加密行为执行——「双用途苗头」风险描述收敛，但备份验证前移建议维持。

•影响面：阿拉伯语诱饵出现意味着投放语种覆盖扩展至中东地区（或阿语地区中文企业用户），财务/结算主题跨语种复用；43.98.80.16 两批次共用证明阿里云 SG 节点进入稳定运营。

事件 3：Derp 库 +22 至 485，11/3 单日回填 0→13——11 月投放强度维持高位

•时间：2026-11-05 窗口滑动观测

•来源：Derp ValleyRAT Tracker

•要点：11/3 计数从昨日初读 0 回填至 13（T+1 漏计第 16 次，单日 13 为 11 月并列最高）；11/2 由 8 修正为 10；11/4=1（T+1，不引用，11-06 复核）；11 月样本序列 10/13/1，日均 8 维持 9 月 2.5 倍水平；11/3 批次抽验 2 样本：1.3MB ValleyRAT v1.0 → C2 202.61.157.33:21357（CTG61-157 段，10 月最大集群第 14 样本，复用确认）；另一为多家族捆绑投放器（见甄别）。

•影响面：投放节奏未见回落，CTG 段 C2 复用率上升（新样本指向既有集群）。

事件 4：微步 05 批次恢复刷新——ANTBOX 第 5 点、腾讯云海外段首见、阿里云系 6/15 集中

•时间：2026-11-05（「05日更新」）

•来源：微步在线银狐情报共享站

•要点：

•IP 榜 15 条：ANTBOX 段新点 192.229.92.119（192.229.80.0/20 段内第 5 点，与第七批点名 .87.72 复现同框）；206.238.221.219 = TCLOUDNET-CGNT-NET-1（Tcloudnet/腾讯云海外 ARIN 段，2023-07 注册）——腾讯云海外段银狐首落点（此前腾讯云 118.24.0.0/15 为境内段）；阿里云系集中：47.238.87.173 / 47.238.131.166 / 47.238.89.106（47.238.0.0/15 带内 3 IP）+ 47.242.41.200 / 47.242.236.186 + 8.217.58.140；AWS HK 16.163.160.170 / 18.166.206.182；KT 韩国 118.128.151.51 第 3 日在榜（活跃确认）；156.234.43.74（156.234.0.0/16 AFRINIC 段，与本报 10 月样本 C2 156.234.7.14/80.154 同 /16）；103.71.48.92 复现（昨日待办④延续）。

•域名榜 15 条混合结构：DGA 短随机域 6（fsidow.net / wqkzosku.cn / jsdobo.net / egqqgk.net / kbbtah.net / ludshkwhbygi.cn——长随机 .cn 域延续双写字母特征）；云桶 5（bzb102 + 6y0ier 北京、mm2027 杭州、new2027 香港、7y0z2j 北京——\"2027\" 字号桶族持续在榜）；编号子域 6047.anonymousrat5.com（anonymousrat5.com 主域首见，编号子域模式与 cstoon.com/baidu787 族同构）；复现 2（9.vmnet.bond、yusx04.cc）；www.flunz4aod.com 新杂域。

• 样本痕迹池：adoresd.dat × UxEnhance64.dll 成对落盘（%Public% 随机目录 30+）、XPSPLOG.dll × thumbs.db（Program Files (x86) 随机目录族）、Windows\Installer\ea\*.msi 族扩容、SiPolicy.p7b（WDAC 策略落盘）持续在列。

•影响面：阿里云 HK 掩体带 47.238.x 单批次 3 IP 出现，掩体租用呈批量化；ANTBOX 点名 10 天后仍在扩点，抗处置特性确认。

事件 5（监测面）：CCTGA 第九批第 14 天未发；国际侧纯二传

• CCTGA 第九批银狐资产通报仍未见官方渠道发布（第八批后第 14 天，历史常态窗口 4-30 天，接近上界）；11-02 行业媒体（牛览/cn-sec）转发内容均为第八批（网信章赣 11-02 17:51 发布）二次传播，无新增资产。

• 甄别排除：CloudSEK「银狐印度税务钓鱼」及 NCC Group ssl3[.]space 链接管理面板报道经多源交叉确认为 2025 年 12 月旧披露重推（infosectoday weekly recap 二传）；齐鲁壹点「裁员名单新变种」为 CVERC 2026-10 通报的媒体二次扩散；CNCERT 镜昙 G02 报告解读为 10-23 原报告的 11-02 二次收录。均不计增量。

三、技术分析

3.1 本期样本技术要点（11/4 新样本 + 11/2-11/3 批次补验）

3.2 ATT&CK 映射（本期观测增量）

3.3 数据质量与甄别记录

•Derp T+1 漏计规律第 16 次兑现：11/3 = 0 → 13；定案门槛维持 T+3~T+4；11/4=1 待 11-06 复核。

•多家族捆绑样本甄别：11/3 批次样本 261103-wp49vstzgx（Westlake MacArthur Park station.zip，20.4MB）为多载荷投放器（同时携带 ades\_stealer/vidar/xworm/redline/cobaltstrike/ghostrat 及多款勒索家族载荷，ValleyRAT 组件 C2 154.23.184.57:80 仅为其一）——非银狐单家族投放样本，其 C2 不入银狐处置清单，仅留档标注；此类捆绑样本或反映黑产「一包多投」分发服务，与银狐主线关系待核实。

•CloudSEK/NCC 旧闻甄别：印度税务线（ggwk.cc、tax affairs.zip、thunder.exe+libexpat.dll 侧加载链）与 ssl3.space 面板均为 2025-12 披露，本轮为 weekly recap 二传。

四、IOC 清单

4.1 新增/复核 C2 与基础设施

4.2 本期样本哈希（截断展示）

4.3 CTG Server 段级封禁清单（13 段，本期 +2 加粗）

14.128.40.0/21、202.61.157.0/24、27.124.12.0/24、202.61.140.0/24、134.122.128.0/20、27.124.17.0/23、27.124.40.0/21、202.79.164.0/22、202.61.160.0/22、118.107.40.0/21、27.124.33.0/24、202.95.13.0/24、202.95.14.0/24

五、检测与防护建议

1.段级封禁落地（优先）：将 4.3 节 CTG 13 段清单接入网络出口设备（注意 118.107.40.0/21 与 27.124.33.0/24 含柬埔寨段，评估误伤后实施）；ANTBOX 192.229.80.0/20 已观测 5 点且点名 10 天不收敛，建议整段拦截。

2.阿里云 HK 掩体带监控：47.238.0.0/15 带内单批次 3 IP 出现，对 47.238.x/47.242.x/8.217.x 的 5252/6666/8888 端口外联建立告警（非直接封禁，避免误伤正常云业务）；云上侧可通过 abuse 通道举报核验。

3.多语言财务诱饵网关规则：邮件网关对阿拉伯语/马来语/印尼语「财务结算/税务」主题 + ISO/IMG/VHD 容器附件组合投递新增拦截策略（银狐诱饵语种已达 6 种，非中文语种样本均为跨语种复用既有载荷）。

4.PNG 隐写载荷检测点：对落地 PNG 文件做「尺寸-体积失配」校验（如 546KB 的 ws.png），配合 PNG 尾部附加数据扫描；VSPMsg.dll 小体积（9KB）侧加载组件名加入行为规则（合法签名宿主 + 异常 DLL 名组合）。

5.勒索标签风险收敛但备份不放松：本期复核确认 ransomware 标签样本无实际加密行为（T1486/T1490 缺失），但家族签名关联说明部分构建含加密模块代码，建议维持「备份验证前移 + 卷影副本监控」基线。

6.Ti 差异化端口监控：6666/8888（本期 CTG 新段）、5252（阿里云 SG 掩体）、21357（CTG61-157 集群）三组端口为当前活跃 C2 端口特征，纳入出口 NetFlow 告警。

六、参考来源

脚注（历史背景，非本期增量）：CTG Server（IRT-CTG-HK）自本报 10-22 期首次落锤第 4 段以来，以平均每 2-3 天一段的速度扩张；ANTBOX NETWORKS（192.229.80.0/20）为 CCTGA 第七/八批双点名机房，10 天未收敛；阿里云 HK/SG 掩体带自 10-23 起持续吸纳银狐 C2（43.98.80.0/24、47.242.x、8.217.x 等）。VSPMsg.dll 组件名呼应 ADAMnetworks 2026-10-22 披露的 VSPerf 白利用链（微软签名宿主）。

待核实事项：① 154.23.184.57:80（多家族捆绑样本内 ValleyRAT 组件 C2，样本性质特殊不入处置清单）；② 156.234.43.74 与 103.71.48.92 归属扩证；③ anonymousrat5.com 主域注册线；④ CCTGA 第九批窗口（第 14 天，接近历史上界）。

本日报由自动化脚本生成 · 仅供企业蓝队参考