银狐情报｜日语高棉语诱饵同日首现：投放语种两天扩至八种，同一载荷跨语种对接不同C2实锤

原创

安全情报官
安全情报官

老肖SOC安全分析笔记

2026年11月6日 10:09
上海

去阅读

银狐情报｜日语高棉语诱饵同日首现：投放语种两天扩至八种，同一载荷跨语种对接不同C2实锤

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.多语种投放单日爆发：日语与高棉语诱饵同日首现，诱饵语种版图两天内 6→8 种：11/5 投放批次中，日语「購入リスト（采购清单）」与高棉语「柬埔寨逮捕名单（បញ្ជីការចាប់ខ្លួននៅកម្ពុជា）」两个全新语种诱饵同日入库，马来语「2026年11月税务申报（PemfailanCukai202611）」同日续投——继昨日阿拉伯语首现后，银狐非中文语种覆盖呈加速扩张态势。

2.同载荷跨语种复用 + 双 C2 配置外置实锤：马来语税务样本与日语采购清单样本的内层主载荷为完全相同哈希（caa59376…，443KB UPX），但配置 C2 不同（14.128.53.155:21131/21132 vs 204.194.49.108:21107）——「一次构建、多渠道分发、C2 独立」的运营模式首次在样本层获得直接证据。

3.CTG 机房版图 13→14 块：202.95.15.139 经 RDAP 实锤落入 202.95.0.0/19 母段（RCPL-SG，RACKIP Consultancy，abuse=IRT-CTG-HK）——昨日判读的「兄弟段 .13/.14」实为同一 /19 母段内落点（.13/.14/.15 三个 /24）；样本侧再落 14.128.48.0/21（CTG128-48-KR，韩国标记） 新块。

4.连连国际控股段主体级复现：高棉语诱饵 C2 203.91.74.177:6677 RDAP 实锤为 LANLIAN INTERNATIONAL HOLDING GROUP LIMITED（LIHGL-HK，203.91.72.0/21）——该主体段 10-27 期（103.215.76.23:9809）后第二次命中；且该 IP 为昨日微步 03 批「待扩证 IP」，本期样本侧兑现双源互证。

5. Derp 样本库 485→495（+10），11/4 从 1 回填至 6（T+2 漏计第 17 次兑现），11 月序列 10/13/6/5、日均 8.5 维持高位；CCTGA 第九批第 15 天未发（超历史常态窗口上界临界）；国际侧无新增原始披露。

二、重点事件

事件 1：单日三种语言诱饵——日语「采购清单」与高棉语「逮捕名单」首现，语种版图扩至 8 种

•时间：2026-11-05（Derp 11/5 批次入库）

•来源：Triage 沙箱报告 261105-dfjmpasx2n / 261105-c6xfsswzav / 261105-etclzaxsbz

•要点：

•日语诱饵（首见，第 7 语种）：購入リスト.exe（443KB，UPX，ValleyRAT v1.0），随附 9 个 VC++ 运行库 DLL 伪装（msvcp140 系/vccorlib140 系全部 1/10 低分）；C2 = 14.128.53.155:21131 / :21132（相邻端口对新形态，非经典 6666/8888）；行为：UAC 绕过 T1548.002、Run 键 T1547.001、禁用工具 T1562.001、外设枚举 T1120；

•高棉语诱饵（首见，第 8 语种）：បញ្ជីការចាប់ខ្លួននៅកម្ពុជা.exe（高棉语「柬埔寨逮捕名单」，2.8MB），文件名时间戳 05112026\_0241（11月5日 02:41 实时定制）；C2 = 203.91.74.177:6677（连连国际控股段，见事件 3）；行为含地理围栏检查（查询注册表国家代码，T1082 变体）+ PowerShell/cmd 执行 T1059.001/.003；

•马来语税务诱饵（续投）：PemfailanCukai202611.exe（「2026年11月报税」，443KB UPX），C2 = 204.194.49.108:21107（归属见 4.1）；外网 IP 探测（web service 查询）行为确认。

•影响面：诱饵语种两天内 6→8 种，非中文语种均为「业务文书」主题（采购/执法名单/税务）；多语言企业邮件网关需按语种扩充「容器附件+可执行」拦截规则。

事件 2：同载荷跨语种复用实锤——同一哈希构建体在日语与马来语渠道分别对接不同 C2

•时间：2026-11-05（同批次比对）

•来源：Triage 沙箱报告（261105-dfjmpasx2n / 261105-etclzaxsbz 内层载荷比对）

•要点：

• 日语样本内层 購入リスト.exe（SHA256 caa5937651fc…）与马来语样本内层 PemfailanCukai202611.exe（SHA256 caa5937651fc…）完全同哈希，但 Triage 提取配置分别指向 14.128.53.155:21131/21132 与 204.194.49.108:21107；

• 两种解释：① 载荷内嵌双 C2 按渠道切换（stager 下发差异化配置）；② 配置外置、投放包组装时注入——无论哪种，均证明载荷构建与投放渠道解耦：哈希情报只能命中单一渠道，单纯基于哈希的处置对「同构建体多渠道」覆盖不足；

• 该现象为本报 10-28 期「双 IMG 样本载荷同哈希（一次构建多渠道分发）」后第 4 例、跨语种首例。

•影响面：蓝队哈希拦截需配合 C2 侧（端口/段级）监控补位；威胁狩猎应以「行为+网络指纹」为主锚点。

事件 3：连连国际控股段主体级复现 + CTG 母段实锤——昨日待扩证 IP 双线兑现

•时间：2026-11-05/06（RDAP 核验）

•来源：APNIC/ARIN RDAP、微步 06 批次

•要点：

•203.91.74.177 → LIHGL-HK（203.91.72.0/21），注册人 LANLIAN INTERNATIONAL HOLDING GROUP LIMITED（gmail 个人邮箱 abuse），2020-10 注册——与本报 10-27 期「103.215.76.23:9809 双 PyInstaller 大包」为同一控股主体第二次命中（段不同但主体同）；该 IP 同时是昨日微步 03 批待扩证 IP，样本↔情报双源互证结案；

•202.95.15.139（微步 06 批 IP 榜）→ RDAP 实锤 202.95.0.0/19 母段（RCPL-SG，RACKIP Consultancy PTE，2008 年注册、2024-08-23 变更），abuse 联系人 = IRT-CTG-HK / [email protected]——整块 /19（8192 IP）abuse 指向 CTG；已观测 .13/.14/.15 三个 /24 落点，昨日「相隔 5 天注册的兄弟段」表述修正为「同一母段内轮换」；

•hkjhjughfytci.cn（长随机 .cn 域，微步 06 批域名榜）解析 → 134.122.173.137 → RDAP 实锤 CTG163-191-JP（134.122.163.0 - 134.122.191.255，2024-05-10 注册）——与已知段 134.122.128.0/20 相邻的新登记块，域名→IP→RDAP 三级验证链。

•影响面：CTG 版图修正为 14 个登记块（见 4.3）；连连国际控股主体进入「重复使用基础设施」名单，203.91.72.0/21 与 103.215.76.0/22 建议合并监控。

事件 4：微步 06 批次——anonymousrat6 新主域系列化、ALLCLOUD 韩国段、SonderCloud 新托管商、域名↔IP 双榜互证成链

•时间：2026-11-06（「06日更新」）

•来源：微步在线银狐情报共享站

•要点：

•IoC 总量 7,402（较 11-04 期 7,488 为 -86，平台清理口径）；收录事件 1,196 个；

•域名榜：6007.anonymousrat6.com 与 6047.anonymousrat6.com 首见——anonymousrat5→rat6 新主域系列化，编号子域 6007（新）/6047（延续）跨主域复制，主域注册信息待核实（whois 查询无返回）；DNS 交叉验证：etgul.cn→18.167.107.230（AWS HK 18.166.0.0/15，与 IP 榜同现互证）、zzhstyy.cn→43.198.123.255（AWS 43.198.0.0/15 同榜互证）、www.einfoo5.com→CNAME fy.womenfa.com→45.119.98.6（CNAME 中转链）、dfsgrew.vip→47.243.130.178 / www.starx8.com→47.243.85.200（阿里云 HK）；云桶 3（6rhjs0/bzb102 北京、mm2027 杭州）；

•IP 榜新面孔落锤：91.204.224.152 = ALLCLOUD\_KR（91.204.224.0/24，RIPE，MAINT-HDTIDCCLOUD-HK，2025-07-30 注册，abuse=outlook 个人邮箱）——ALLCLOUD 系从香港（45.142.152.0/24）扩展至韩国段；45.119.98.6 = SonderCloud Limited HK（45.119.96.0/22，新托管商）；192.253.228.245 = Integen Inc（192.253.224.0/20，1994 年 ARIN 老段，与 Cogent 154.x 同属「买旧不买新」转售空间）；160.202.231.41 = FXNET（160.202.228.0/22，湖北飞讯网络第 2 段，QQ 个人邮箱 abuse）；121.127.244.118 = MEGA-II 相邻 /24 新点；

•样本痕迹池新指纹：Drivers\\ 下臆造词目录族扩容（scarringantonio87\Appraisal-Prints-8769.znSb、Mortgagesbradford3222\installer.exe、FairyExtend\KnollComposed-7858.th、UnafraidWolverine\Inspired-Howto-1065.B5L）；Windows\\Logs\\svchost_<长AB字母串>.exe（AB 串编码 svchost 伪装族，一次投放多个变体）；Common Files\\arphaDump64.bin/arphadump64.dll、Common Files\\vulkan-1.bin（vulkan 伪装）；AppData\\Local\\{GUID}\\DataSyncM.exe / SafeAgentN.exe；ProgramData\\LanmanServer368\\svchost.exe（LanmanServer 目录伪装）；Public\\Downloads\\yh.dat / libcef.dll；

• 典型样本：install.2.0.08.zip（installer\_r2 版本 r2.0.07→r2.0.08 迭代，XPI 型 PatchedHostLoader）。

•影响面：anonymousrat 族呈现「编号子域+主域递增」工厂化特征，建议对 anonymousrat*\\.com 泛域名监控；Drivers 臆造词目录与 AB 串 svchost 为高价值 hunting 点。

事件 5（监测面）：CCTGA 第九批第 15 天未发；奇安信专题页例行刷新

• CCTGA 第九批银狐资产通报仍未见官方渠道（第八批 10-23 后第 15 天，历史常态 4-30 天，接近上界）；检索确认牛览/cn-sec/网易/微博等渠道近两日转发均为第八批二次传播，无新增资产。

• 奇安信威胁情报中心「银狐木马威胁活动专题」页面标注最后更新 2026-11-06（147 关联报告 / 144,305 IOC），为平台例行刷新，页面 JS 渲染无法提取新增报告明细，不计增量。

• 甄别排除：微博/网易 11-02 转 CCTGA 内容均为第八批旧文；utuhv.cn 解析 108.160.166.42（Dropbox 知名段 108.160.160.0/20），疑域名停放/CDN 配置异常，标注待核实不入处置清单。

三、技术分析

3.1 本期样本技术要点（11/5 批次全量核验 + 11/4 回填补验）

3.2 载荷复用与 C2 配置解耦（本期核心发现）

• 日语/马来语样本内层载荷同哈希（caa59376…）但 C2 不同 → 构建流水线与投放渠道解耦，「一构多投+C2 外置/切换」模式第 4 例、跨语种首例；

• 运营含义：同一构建体可服务多个语种市场，C2 按「语种渠道或投放区域」分配（14.128.53.155 KR 标记 ↔ 日语渠道；204.194.49.108 ↔ 马来语渠道；203.91.74.177 连连国际段 ↔ 高棉语渠道）——诱饵语种与 C2 归属存在地域对应关系的初步迹象，待更多样本验证。

3.3 ATT&CK 映射（本期观测增量）

3.4 数据质量与甄别记录

•Derp T+2 漏计第 17 次兑现：11/4 = 1 → 6；11/3 维持 13；11/5 = 5（T+1 不引用，11-07 复核）；11 月序列 10/13/6/5。

•utuhv.cn → Dropbox 段：解析异常，疑停放/误配置，待核实。

•anonymousrat5/6.com whois 无返回：Verisign 端点查询超时，注册线待补（明日待办）。

• 多家族捆绑投放器（11/3 期 Westlake 样本）无新增同类，154.23.184.57 维持留档。

四、IOC 清单

4.1 新增/复核 C2 与基础设施

4.2 本期样本哈希（截断展示）

4.3 CTG Server 段级封禁清单（14 块，本期结构修正 + 新增 2 块）

14.128.40.0/21、202.61.157.0/24、27.124.12.0/24、202.61.140.0/24、134.122.128.0/20、27.124.17.0/23、27.124.40.0/21、202.79.164.0/22、202.61.160.0/22、118.107.40.0/21、27.124.33.0/24、202.95.0.0/19（原 .13/.14 两 /24 合并为母段，段内已观测 3 个 /24 落点）、14.128.48.0/21（新，KR）、134.122.163.0-191.255（新，JP）

注：202.95.0.0/19 整段 abuse 登记 IRT-CTG-HK，但 /19 含 8192 地址，整段封禁误伤风险需先做段内资产探测；134.122.163.0-191.255 为 APNIC 登记口径（非标准 CIDR，可用 134.122.160.0/19 覆盖并评估）。

五、检测与防护建议

1.多语种诱饵拦截前移：邮件网关对日语「購入リスト/発注/見積」、高棉语执法/名单类、马来语「Pemfailan Cukai/报税」主题 + ZIP/IMG 容器附件的组合新增拦截规则；银狐诱饵语种已达 8 种，建议按「容器附件 + 内层可执行 + 随附多 DLL」结构特征做语言无关拦截。

2.哈希情报局限性应对：同载荷跨语种双 C2 已实锤，单纯哈希黑名单对「一构多投」覆盖不足——出口侧对 21107/21131/21132（本期新端口族，相邻端口对特征）+ 既有 6666/8888/6677/5252 端口外联建立 NetFlow 告警。

3.CTG 段级封禁更新：将 4.3 清单 14 块接入出口设备；202.95.0.0/19 与 134.122.163.0-191.255 为新增，先探测后封禁；14.128.48.0/21 与既有 14.128.40.0/21 可合并评估 14.128.40.0/20 覆盖。

4.连连国际控股主体监控：203.91.72.0/21（LIHGL-HK）与 103.215.76.0/22 合并为「同一控股主体」监控对象，段内 6677/9809 端口外联告警；gmail 个人邮箱 abuse 段，处置走 IP 段封锁而非举报。

5.高价值 hunting 点落地：Drivers\\<臆造词>\\ 目录族（Wordpress 风格臆造词+数字后缀）、Windows\\Logs\\svchost_.exe、AppData\\Local\\{GUID}\\DataSyncM.exe / SafeAgentN.exe、ProgramData\\LanmanServer368\\svchost.exe、Common Files\\arphaDump64.*——EDR 侧按「系统目录+异常文件名」规则布控。

6.WEVTAPI.dll 白利用检测：合法 Windows 事件日志 API 宿主（通常随系统签名）出现在投放包内且体积达 4.5MB（正常数十 KB 量级）为强异常信号；「合法宿主+异常体积/异常路径 DLL」组合规则扩展至 WEVTAPI。

7.地理围栏行为关注：高棉语样本的注册表国家代码查询（地理围栏）意味着部分构建具备区域自检——蜜罐/沙箱环境区域配置与诱饵语种不匹配可能触发静默退出，分析环境需对齐。

六、参考来源

脚注（历史背景，非本期增量）：CTG Server（IRT-CTG-HK，BGP Consultancy/RACKIP 关联登记体系）自本报 10-22 期首次落锤以来持续扩段，本期修正 202.95 系为母段口径后共 14 块。连连国际控股（LANLIAN INTERNATIONAL HOLDING GROUP LIMITED）10-27 期首见于 103.215.76.0/22（双 PyInstaller 大包 153MB+145.5MB，SSH 密钥读取+Netsh Helper T1546.007）。诱饵语种谱系：简中/繁中（2023 起）→ 英语 → 马来语（2026-10）→ 印尼语 → 阿拉伯语（2026-11-02）→ 日语/高棉语（2026-11-05）。

待核实事项：① anonymousrat6.com 主域注册线（whois 端点恢复后补查）；② utuhv.cn → Dropbox 段解析性质（停放/CDN/异常）；③ WEVTAPI.dll（4a5d9ed1a461…）是否具备有效微软签名（宿主签名状态待核）；④ Derp 11/5=5 T+2 复核（11-07）；⑤ CCTGA 第九批窗口（第 15 天，超上界临界）；⑥ 诱饵语种与 C2 地域对应关系（KR↔日语、连连段↔高棉语）更多样本验证；⑦ 202.95.0.0/19 段内 .16-.31 未观测区扫描；⑧ 204.194.48.0/21（DFI 老段）内 21107 端口扩证。

本日报由自动化脚本生成 · 仅供企业蓝队参考