2026-11-10 16:38:08 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

甲方安全运营：银狐2691条IOC，5步封堵狩猎

宝十八
宝十八

网络安全老宋

2026年11月10日 12:00
山东

去阅读

导语： 你好，我是网络安全老宋。安全攻防干货准时送达！

网络安全老宋// 威胁情报 · 安全事件

// 威胁情报 · 安全事件

甲方安全运营：银狐3256条IOC，5步封堵狩猎

一份3256条的银狐IOC清单，真正有用的不是看，是灌进设备立刻封堵。

银狐木马3256条IOC封堵狩猎

●一句话精华
一份3256条的银狐IOC清单，真正有用的不是“看”，是把它灌进防火墙、DNS和EDR立刻封堵。

这次山石云瞻披露了一批“银狐”木马的IOC，我帮你整理完吓一跳——636个恶意IP、1311个仿冒域名、1309个文件哈希，三类合计3256条。

不少甲方朋友的习惯是“收藏备用”，但说实话，收藏等于没看。

这篇文章就讲一件事：这份清单怎么在你们环境里真正用起来。

00银狐不是新病毒，是披着正经软件外衣的骗子


步骤	动作（对应IOC）
R1	防火墙 / WAF 批量封 IP 636 个公网 IPv4 导入黑名单，优先级最高，见效最快。
R2	DNS / 上网代理拦域名 1311 个恶意域名，重点拦 wps-offce.cn、so-sougou.com.cn 这类仿冒站。
R3	EDR 加文件哈希黑名单 1309 个文件哈希（SHA256 807 / MD5 456 / SHA1 46），先把 807 个 SHA256 拉进 EDR 黑名单，文件落地即拦截。
R4	扫描 Tor / Onion 回连 2 个 .onion C2，定期查内网主机有没有回连暗网。
R5	卡死软件安装来源治本项，禁从下载站 / 群文件装软件，走审批白名单。

数据来源：山石云瞻 hotthreat id=430 银狐专项披露，已去重分类（2026-11-09 整理）。

银狐（Silver Fox / Void Arachne）最阴的地方在于“不像病毒”：它不靠漏洞打你，而是把木马塞进你本来就要装的软件里。R1 到 R4 是“封堵”，当天就能做；R5 是“治本”，决定你下个月要不要重复干这活。据公开资料，这类活动规模已不小——多家安全厂商报告显示，单次专项就牵出数百个仿冒域名，集中仿冒 WPS、Chrome、微信等国民级软件，关联 IOC 有的统计到十万级。所以这次披露的 3256 条只是冰山一角，别指望一份清单就高枕无忧。

假的常用软件

伪造的 WPS、Telegram、Chrome、微信 PC 版，从下载站、群文件、搜索投毒流出。
* 落地即失控

双击之后接 Winos 4.0 / ValleyRAT 远控框架，有的用 BYOVD 把杀软驱动干掉。

01治本的那一步，比封堵更值钱

我建议每个甲方先把“软件从哪来”这条卡死。员工搜“WPS 官方下载”，排在前面的往往不是官网，是下载站和竞价广告，银狐就藏在这些地方。你封掉 1311 个域名，它明天能注册一批新的；但你把“只能从内网软件库 / 官网装机”这条制度落地，它就没入口了。别信“装个杀软就安全”——银狐的 BYOVD 技术专门废杀软驱动。真正拦住它的，是软件来源管控 + EDR 哈希拦截这两道组合拳。IOC 永远追不完，把入口收住才是甲方该干的事。