文章总结： 本期威胁情报显示攻击总量高位，恶意样本翻倍至12个，银狐IOC维持12条。禅道env.bak敏感信息泄露占32%反弹至首位，SPPageBuilder漏洞紧随其后。建议防守方立即封堵10个定向攻击IP、查杀样本、拦截IOC并核查17个漏洞涉及资产，优先清理公网配置备份文件。 综合评分： 85 文章分类： 威胁情报,恶意软件,漏洞分析,红队,安全运营

8月16日 威胁情报IOC

宝十八 宝十八

网络安全老宋

2026年8月19日 12:00 山东

在小说阅读器读本章

去阅读

导语： 你好，我是网络安全老宋。安全攻防干货准时送达！

| | | | — | — | | 网络安全老宋 | 漏洞预警 · 威胁情报 |

// 漏洞预警 · 威胁情报

甲方运维注意：25 个高危攻击 IP 在扫 禅道 env.bak 占 32%

本期 10 个定向攻击 IP 对 9 家重点单位发起攻击，涉 8 个行业；恶意样本翻倍到 12 个，Mtu–windon64x.exe 把 windows 拼成 windon 躲检测。监测侧收录 17 个漏洞、关联 25 个高危攻击 IP，禅道 env.bak 占 8 例（32%），老问题还在冒头。

10个定向攻击IP17漏洞+25攻击IP禅道env.bak占32%

| | | | | — | — | — | | 🎯 10 个定向攻击 IP 对 9 家重点单位发起攻击，涉 8 个行业 | 🛡️ 17 漏洞 + 25 攻击 IP 监测侧收录 17 个漏洞，关联 25 个高危攻击 IP | 🐛 12 样本 + 12 IOC 恶意样本翻倍至 12 个，银狐 IOC 维持 12 条 |

目录 · Table of Contents

00本日威胁概览

01攻击者视角（情报通报，用于防守检测）

02防守者视角：核查资产、修补漏洞

03老宋说

04处置清单 R1–R6

05IP / IOC 完整附表

00本日威胁概览

本日五项核心数字指向同一个结论：攻击总量仍在高位，银狐投递在换手法，但资产侧该补的漏洞一个都别拖。定向攻击对重点单位不减，恶意样本翻到 12 个，银狐 IOC 维持 12 条（含伪装 WPS / 路由镜像域名、以及 166.75.91.51 同 IP 双端口 80/443 复用）；监测侧收录 17 个漏洞、关联 25 个攻击 IP，禅道 env.bak 反弹到 8 例。

| | | | | — | — | — | | 指标 | 本日数据 | 说明 | | 定向攻击 IP | 10 个 | 对 9 家重点单位发起攻击，涉 8 个行业 | | 恶意样本 | 12 个 | 银狐常用投递物，含 Battle.net Launcher.exe、Mtu–windon64x.exe 等 | | 银狐组织 IOC | 12 条 | 5 个全端口恶意域名 + 7 个恶意 IP 端口 | | 高频漏洞 / 高危 IP | 25 个 | 监测侧收录 17 个漏洞，关联 25 个攻击 IP | | 禅道 env.bak | 8 例（32%） | 本期高频 IP 列表里禅道 env.bak 占 8 例，较上期 6 例反弹 |

近几日关键指标走势（看趋势比看单日更准）：

| | | | | | | | — | — | — | — | — | — | | 指标 | 8.12 | 8.13 | 8.14 | 8.15 | 8.16 | | 定向攻击 IP | 11 | 10 | 10 | 11 | 10 | | 恶意样本 | 8 | 5 | 4 | 4 | 12 | | 银狐 IOC | 18 | 22 | 16 | 12 | 12 |

⚠️ 攻击者视角（情报通报，用于防守检测）：以下 IP、样本、IOC 均为已公开的威胁情报，用途是让防守方在边界、WAF、邮件网关侧做检测与拦截，不是攻击指引。

01攻击者视角（情报通报，用于防守检测）

1.1 定向攻击 IP（10 个） 8 月 15 日监测发现 10 个 IP 对 9 家重点单位存在攻击行为，攻击方式包括 SQL 注入、命令注入、代码注入、组件漏洞攻击等。归属地覆盖中国境内（北京、广东、江苏南京、浙江杭州、重庆）与英国伦敦。完整列表见 05 完整附表 · 定向攻击 IP 列表。

1.2 恶意样本（12 个） 近期捕获 12 个恶意样本，文件名含 snaxh、ugfsa、installc、Battle.net Launcher.exe、ClipInfoShare ViewerProgram、POS104Install、ainstall-setup63890003.zip、BarRemoteSrv.exe、Mtu–windon64x.exe 等。其中 Mtu–windon64x.exe 把 windows 拼成 windon 规避检测，Battle.net 战网启动器名则伪装成正规客户端——这俩是典型的社工话术升级。完整 MD5 与文件名见 05 完整附表 · 恶意样本列表。

1.3 银狐组织 IOC（12 条） 银狐组织近期针对金融、教育、能源行业实施钓鱼攻击，窃取用户敏感信息。本期 IOC 含 5 个全端口恶意域名（zh.wps-offce.cn 伪装 WPS 官方、routemirror.com 伪装路由镜像）、7 个恶意 IP 端口（166.75.91.51 同时开 80 与 443、47.243.127.117 开 10089 等）。完整列表见 05 完整附表 · 银狐组织 IOC 详情表。

1.4 高频漏洞和高危攻击 IP（25 个） 监测侧本期收录 17 个高危漏洞，关联 25 个高危攻击 IP，涵盖蓝凌 OA 远程代码执行、金和 C6 SQL 注入、FortiWeb CVE-2025-25257、泛微 e-cology、Agent Zero 任意文件读取、赛蓝、SP Page Builder CVE-2026-48908、禅道 env.bak 等。其中 禅道 env.bak 敏感信息泄露占 8 例（32%），连续多日出现在高频 IP 列表。完整列表见 05 完整附表 · 高频漏洞和高危攻击 IP 列表。

02防守者视角：核查资产、修补漏洞

本期安全监测团队针对近期活跃的高频漏洞（涵盖 0Day、1Day 和 N-Day）及攻击 IP 情报完成更新，共收录 17 个漏洞，关联 25 个高危攻击 IP。请各单位依据漏洞列表核查资产应用，对存在风险的应用进行配置更新或漏洞修补，并完善相关记录——规则能拦，不等于你的系统没漏洞，资产侧打没打补丁还得自己查。

附件四 25 个攻击 IP 关联的漏洞类型分布：

| | | | | — | — | — | | 漏洞类型 | IP 数 | 占比 | | 禅道 env.bak 敏感信息泄露 | 8 | 32% | | SP Page Builder 任意文件上传（CVE-2026-48908） | 5 | 20% | | 金和 C6 SQL 注入 | 4 | 16% | | 蓝凌 OA 远程代码执行 | 2 | 8% | | 泛微 e-cology SQL 注入 | 2 | 8% | | FortiWeb SQL 注入（CVE-2025-25257） | 1 | 4% | | 美特 CRM 任意文件读取 | 1 | 4% | | 赛蓝企业管理系统 任意文件读取 | 1 | 4% | | Agent Zero 任意文件读取 | 1 | 4% |

💡 防守者视角：以上为漏洞与攻击 IP 的对应关系，用于资产自查与补丁核查，不提供任何利用代码或攻击步骤。

03老宋说

技术本质：这期是「投送加码、配置拖后腿」的一周——恶意样本翻倍到 12 个，Mtu–windon64x.exe 把 windows 拼成 windon 躲检测；银狐 IOC 维持 12 条，166.75.91.51 同 IP 开 80/443 双端口复用。监测侧把 17 个漏洞、25 个攻击 IP 收进高频列表，防守方照单自查即可。比漏洞更该盯的，还是反复出现的配置型暴露面（禅道 / 用友 env.bak 这类老问题）。

行业观察：监测侧本期高频漏洞 IP 列表收录 25 个攻击 IP，关联 17 个漏洞，其中禅道 env.bak 敏感信息泄露占 8 例（32%），较上期 6 例明显反弹，重新回到首位；SP Page Builder（CVE-2026-48908）本期 5 例紧随其后——老漏洞、老配置问题，打不死。

对读者的建议：今天先把 05 附表的 12 条银狐 IOC 全量拉进 WAF / 威胁情报拦截；再花十分钟核一遍 25 个攻击 IP 涉及的产品（蓝凌 OA、金和 C6、FortiWeb、泛微 e-cology、Agent Zero、赛蓝、SP Page Builder）到底打没打补丁；最后去公网扫一遍禅道 / 用友的 .bak / env.bak，把暴露的配置备份撤下来。

04处置清单 R1–R6

以下均为防守动作，按优先级排序，今天即可执行。

| | | | — | — | | R1 | 封堵定向攻击 IP将定向攻击 IP 列表的 10 个 IP 加入边界防火墙 / 云安全组黑名单，禁止入站与出站双向通信。 | | R2 | 查杀恶意样本按恶意样本列表的 12 个 MD5 与文件名，在终端 EDR、邮件网关、文件服务器做一次全量检索与隔离，重点排查 Mtu–windon64x.exe、Battle.net Launcher.exe 等银狐投递物。 | | R3 | 拦截银狐组织 IOC将银狐组织 IOC 的 12 条（5 个全端口恶意域名含伪装 WPS / 路由镜像域名、7 个恶意 IP 端口含 166.75.91.51 双端口）写入 WAF / 威胁情报拦截策略，阻断 C2 回连。 | | R4 | 核查并修补 17 个漏洞涉及资产对照附件四 25 个攻击 IP 关联的漏洞，核查蓝凌 OA、金和 C6、FortiWeb、泛微 e-cology、Agent Zero、赛蓝、SP Page Builder、禅道等资产版本与补丁，确认 CVE-2026-48908 / CVE-2025-25257 是否已完成修复或防护。 | | R5 | 钓鱼邮件专项针对银狐组织样本，向全员推送预警；邮件网关开启附件沙箱检测，对可疑 exe / dll / zip 附件执行先核验后打开。 | | R6 | 资产暴露面复盘继续盘点禅道、用友等系统的公网地址，移除 .bak / env.bak / _bak 等配置备份文件，禁止敏感配置直接暴露公网；本期高频漏洞 IP 中禅道 env.bak 占 8 例（32%），是首要清理对象。 |

05IP / IOC 完整附表

⚠️ 以下内容为已公开威胁情报，仅供防守方检测与拦截使用。

附件一：定向攻击 IP 列表（10 个）

| | | | | — | — | — | | 序号 | IP | 归属地 | | 1 | 106.12.156.105 | 中国北京市 | | 2 | 39.104.69.177 | 中国北京市 | | 3 | 49.232.50.75 | 中国北京市 | | 4 | 183.9.99.152 | 中国广东省 | | 5 | 118.195.152.129 | 中国江苏省南京市 | | 6 | 58.213.147.227 | 中国江苏省南京市 | | 7 | 116.62.50.219 | 中国浙江省杭州市 | | 8 | 115.120.250.94 | 中国重庆市 | | 9 | 219.152.94.98 | 中国重庆市 | | 10 | 94.154.43.12 | 英国英格兰伦敦 |

附件二：恶意样本列表（12 个）

| | | | | — | — | — | | MD5 | 文件名 | 属性 | | 98e0289035c6c223c6cf909cb16ae4b7 | snaxh | 恶意 | | c0dc7d903c82ac01230aa588cfd27a62 | ugfsa | 恶意 | | 191d0df362f05105932dc273eea1fa2f | installc | 恶意 | | dc6078245323ed866ecd8a32d917aafe | Battle.net Launcher.exe | 恶意 | | f2732f3b6e010a8134d99a2a20aaf00f | snaxh | 恶意 | | 3576f9046c6b50ff828ac3c92652593a | ugfsa | 恶意 | | 471da18f0e38249514c4d83cc61c4db4 | ugfsa | 恶意 | | 96c2cc60a5bdb8b69a54105855d82103 | ClipInfoShare ViewerProgram | 恶意 | | cf5ed92dd97a33f37cb259b481a668a1 | POS104Install | 恶意 | | ddd68190895f9bb96f89b400c924b4b0 | ainstall-setup63890003.zip | 恶意 | | edc5cfb49e3a7d819e00c36d3f1db2c6 | BarRemoteSrv.exe | 恶意 | | 53d818ddf7d24b111f5a73205bf694dd | Mtu–windon64x.exe | 恶意 |

附件三：银狐组织 IOC 详情表（12 条）

| | | | | — | — | — | | 序号 | 恶意地址 | 端口 | | 1 | www.fpag987a.com | 全端口 | | 2 | shougong9.com | 全端口 | | 3 | zh.wps-offce.cn | 全端口 | | 4 | acuf444.club | 全端口 | | 5 | routemirror.com | 全端口 | | 6 | 18.167.107.230 | 8080 | | 7 | 166.75.91.51 | 80 | | 8 | 47.243.127.117 | 10089 | | 9 | 166.75.91.51 | 443 | | 10 | 8.217.62.89 | 8080 | | 11 | 27.124.9.115 | 443 | | 12 | 14.128.53.194 | 8081 |

附件四：高频漏洞和高危攻击 IP 列表（25 个）

禅道 env.bak 敏感信息泄露（序号 18–25）在表中以红色高亮标出，共 8 例，占 32%。

| | | | | | — | — | — | — | | IP | 漏洞名称 | 披露时间 | 地址位置 | | 106.39.219.83 | 蓝凌 OA sysUiComponent.do 远程代码执行 | 2024-07-23 | 中国,北京 | | 223.104.40.13 | 美特 CRM download-new.jsp 任意文件读取 | 2025-07-15 | 中国,北京 | | 14.17.80.240 | 金和 C6 协同管理平台 ModuleTaskView.aspx SQL 注入 | 2025-07-17 | 中国,广东,东莞 | | 61.160.232.66 | 金和 C6 协同管理平台 ModuleTaskView.aspx SQL 注入 | 2025-07-17 | 中国,江苏,常州 | | 223.244.255.48 | 金和 C6 协同管理平台 ModuleTaskView.aspx SQL 注入 | 2025-07-17 | 中国,安徽,滁州 | | 47.92.169.253 | 赛蓝企业管理系统 GetJSFile 任意文件读取 | 2024-07-11 | 中国,北京 | | 219.144.235.26 | 金和 C6 协同管理平台 ModuleTaskView.aspx SQL 注入 | 2025-07-17 | 中国,陕西,西安 | | 147.93.178.172 | 蓝凌 OA sysUiComponent.do 远程代码执行 | 2024-07-23 | 美国,纽约州,奥兰治堡 | | 154.89.144.66 | Fortinet FortiWeb SQL 注入（CVE-2025-25257） | 2025-07-17 | 中国,香港 | | 115.236.45.236 | 泛微协同管理应用平台 e-cology getdata.jsp SQL 注入 | 2025-06-15 | 中国,浙江,杭州 | | 115.236.45.235 | 泛微协同管理应用平台 e-cology getdata.jsp SQL 注入 | 2025-06-15 | 中国,浙江,杭州 | | 107.158.239.106 | Agent Zero download_work_dir_file 任意文件读取 | 2025-06-30 | 美国,亚利桑那州,菲尼克斯 | | 137.175.74.108 | SP Page Builder asset.uploadCustomIcon 任意文件上传（CVE-2026-48908） | 2026-08-03 | 美国,加利福尼亚州,圣何塞 | | 103.59.160.82 | SP Page Builder asset.uploadCustomIcon 任意文件上传（CVE-2026-48908） | 2026-08-03 | 印度尼西亚,雅加达,雅加达 | | 103.59.160.164 | SP Page Builder asset.uploadCustomIcon 任意文件上传（CVE-2026-48908） | 2026-08-03 | 印度尼西亚,雅加达,雅加达 | | 45.120.204.30 | SP Page Builder asset.uploadCustomIcon 任意文件上传（CVE-2026-48908） | 2026-08-03 | 美国,加利福尼亚州,洛杉矶 | | 107.149.108.233 | SP Page Builder asset.uploadCustomIcon 任意文件上传（CVE-2026-48908） | 2026-08-03 | 美国,加利福尼亚州,洛杉矶 | | 45.197.36.61 | 禅道 env.bak 敏感信息泄露 | 2026-08-03 | 中国,香港 | | 45.43.233.210 | 禅道 env.bak 敏感信息泄露 | 2026-08-03 | 美国,加利福尼亚州,洛杉矶 | | 104.232.75.78 | 禅道 env.bak 敏感信息泄露 | 2026-08-03 | 美国,加利福尼亚州,洛杉矶 | | 162.159.113.152 | 禅道 env.bak 敏感信息泄露 | 2026-08-03 | 荷兰,北荷兰省,阿姆斯特丹 | | 43.229.213.202 | 禅道 env.bak 敏感信息泄露 | 2026-08-03 | 中国,香港 | | 104.23.251.59 | 禅道 env.bak 敏感信息泄露 | 2026-08-03 | 美国,加利福尼亚州,洛杉矶 | | 172.68.70.98 | 禅道 env.bak 敏感信息泄露 | 2026-08-03 | 美国,乔治亚州,亚特兰大 | | 79.133.176.155 | 禅道 env.bak 敏感信息泄露 | 2026-08-03 | 英国,英格兰,伦敦 |

网络安全老宋 · 转载请注明出处

防御，不是在演练期间发现攻击，而是在演练开始前就把攻击面收敛到最小。

end

不想错过文章内容？读完请点一下“在看”，加个“关注”，您的支持是我创作的动力

期待您的一键三连支持（点赞、在看、分享~）

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络安全老宋 宝十八 宝十八《8月16日 威胁情报IOC》