银狐上演「点名即弃用」：官方通报的IP三天内全部作废，控制端连夜搬进阿里云和韩国机房

原创

安全情报官
安全情报官

老肖SOC安全分析笔记

2026年10月26日 09:52
上海

去阅读

银狐上演「点名即弃用」：官方通报的IP三天内全部作废，控制端连夜搬进阿里云和韩国机房

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.AtlasRAT 存活 C2 域名 laicaishuli.com 复核确认活跃，双 A 记录双供应商落地韩国：本报 10-26 DNS 实测该域（Netresec 10-12 披露的银狐/TA4922 关联 AtlasRAT TLS C2 三域之一）同时解析 118.128.151.51（KT 韩国电信）与 103.86.47.234（Moack 韩国托管，行政联系为上海西玛网络科技）——后者与微步 10-18 热点 IP 103.86.47.125 同 /24，103.86.47.0/24 双源双点命中，韩国机房首次进入银狐谱系基础设施版图。

2.CCTGA 第八批点名域 gadad.bvndjx.cn 通报发布仅 3 天即整体轮换解析至阿里云国际：当前解析 47.91.170.222 / 47.76.127.217 / 8.218.208.240 三 IP（8.218.208.240 经 APNIC RDAP 实锤为 Alibaba Cloud Singapore），原点名 IP 137.220.136.168 已脱离解析——「官方点名即弃用」的对抗节奏再获实证，处置必须以域名层优先。

3.mlcrosoft.vip（第八批主力 typosquatting 域）同步迁离 177.4.3.x 段：现解析 98.159.108.61（RDAP 查询未成功，归属待核实）——第八批 10 个关联域的 IP 依附性 3 天内全面失效，逐 IP 处置窗口比预期更短。

4.今日 04:26 出现一篇高质量一手受害者应急响应实录（hqwc.cn）：第三方下载站 spacedesk 伪装安装包投递（本报首见伪装目标）+「防商业使用验证」强制信任话术 + 挖矿载荷（PNG 隐写，96×96/4.5MB 尺寸失配）+ 三节点分布式哨兵互守（true update client / Philips Speech Driver Client Configuration / 乱码目录主程序）+ 按进程名禁用杀软与 Everything；银狐家族归属待核实（无哈希/C2，挖矿+RAT 混投可能），但 TTP 细节与已知银狐行为高度吻合，处置侧可直接引用。

5. 监测面：Derp 库 369 持平（10/25、10/26 双日零入库，周末效应；10/24=1 经 T+2 复核无修正，昨日待办①结案）；微步共享站维持「25日更新」标签（26日更新未出，盲区第 1 日，IoC 总量 7,449）；abuse.ch 侧 ValleyRAT 最新条目 10-21（2-spyware 10-25 核查引用，10/18-21 连续小规模入库）；CVERC 官网无新通报（第九批窗口第 3 天）。

二、重点事件

1. laicaishuli.com 双 A 记录活跃：AtlasRAT 域名侧存活点确认，落地韩国双供应商

•时间：2026-10-26 本报 DNS/RDAP 实测（域名与 IP 状态为窗口内当前值）

•来源：本报 dig + APNIC RDAP 实测；背景披露 Netresec: Detecting AtlasRAT C2（2026-10-12）

•要点：

• Netresec 10-12 披露的 AtlasRAT 3 个语义化域名（laicaishuli.com / yilufafafa.club / zixungongsi.top）中，仅 laicaishuli.com 当前有解析（另两域无 A 记录），且同时挂双 A 记录；

•118.128.151.51：APNIC RDAP = KT 韩国电信（118.128.0.0/14 ALLOCATED PORTABLE，IP Manager / IRT-KRNIC-KR）——韩国电信家宽/企业段资源；

•103.86.47.234：APNIC RDAP = 103.86.47.0/24（ALLOCATED NON-PORTABLE，abuse IRT-MOACKCOLTD-KR 即 Moack Co. Ltd. 韩国托管商；administrative 联系人 Shanghai Xima Internet Technology Limited 上海西玛网络科技）——与微步 10-18 热点 IP 103.86.47.125 同 /24，本报 DNS 实测与微步热点榜在 103.86.47.0/24 形成双点命中，该段承载银狐谱系资产的可信度显著上升（待扩大样本核证）；

• 双 A 记录 = 单域名双供应商冗余：任一 IP 被封不影响连通，与银狐主线「域名池多落点形态」（本报 10-22 期）运营思路一致；

• 结合本报 10-25 期：Netresec 8 个 TLS C2 之一 23.226.57.50 在微步 10-25 热点在榜——AtlasRAT IP 侧与域名侧存活点均已获独立第二源确认，该支线基础设施活跃度实锤。

•影响面：NTA/出口设备可直接对 laicaishuli.com 域名层封禁（含泛解析）；103.86.47.0/24（Moack）建议列入观察名单并做命中率评估；韩国（KT/Moack）作为银狐谱系新观测落点区域，纳入 hunting 视野。

2. gadad.bvndjx.cn 解析整体轮换：第八批点名 IP 3 天即弃用，新落点全部指向阿里云国际

•时间：2026-10-26 本报 DNS/RDAP 实测；第八批通报 2026-10-23 发布

•来源：本报 dig + APNIC RDAP 实测；背景 CCTGA 第八批通报（2026-10-23）

•要点：

• 第八批点名条目 137.220.136.168:5178（BAYS220）关联域 gadad.bvndjx.cn 当前解析 47.91.170.222 / 47.76.127.217 / 8.218.208.240 三个 IP，原 IP 已不在解析列；

•8.218.208.240 经 APNIC RDAP 实锤：Alibaba Cloud (Singapore) Private Limited（8.208.0.0/14，IRT-ASEPL-SG）——银狐阿里云掩体带再添 SG 节点，与本报 10-23 实锤的 43.98.80.16（ASEPL-SG）同注册主体；

• 47.91.170.222 与 47.76.127.217 位于 APNIC IANA stub 段（47.0.0.0/8 二级分配未细分），按本报既往观测：47.76.x 与 10-19 实锤样本 C2 47.76.205.190 同区间、47.91.x 为阿里云 AP 区间惯用——三 IP 高概率同属阿里云国际（待 PassiveDNS 扩证）；

•运营节奏判读：官方通报发布（10-23）→ 3 天内关联域整体迁移——「点名即弃用」从本报历史推断升级为可直接观测的事实；同时 mlcrosoft.vip（同批主力 typosquatting 域）也迁离 177.4.3.x（见事件 3），第八批全部关联域的 IP 依附性已在窗口内失效。

•影响面：官方逐 IP 名单的处置时效 ≤3 天，企业侧应把第八批 10 IP 视为「取证快照」而非持续封禁清单；gadad.bvndjx.cn 及 bvndjx.cn 泛域、8.218.208.0/24 建议域名层+段级观察处置。

3. mlcrosoft.vip 迁离 177.4.3.x：第八批 typosquatting 域族 IP 依附性全面失效

•时间：2026-10-26 本报 DNS 实测

•来源：本报 dig 实测；RDAP 定性未成功（ARIN 端点无响应）

•要点：

• 第八批通报中承载最高日控（.99 6,549/.35 6,161/.101 4,153 等）的关联域族 mlcrosoft.vip / mlcrosoft.my / mlcro.net，其主力域当前解析 98.159.108.61——已脱离 177.4.3.x（HKCICL-HK）段；

• 98.159.108.61 归属查询失败（待核实）；mlcro.net 当前无 A 记录；

• 177.4.3.0/24 段封建议维持（该段六批次轮换历史深厚，IP 池未枯竭），但域名族整族拉黑（mlcrosoft.vip/.my、mlcro.\*）的优先级高于段内逐 IP 追踪——域名不变、IP 快换的对抗模式下，域名才是稳定锚点。

•影响面：与事件 2 合并结论——第八批 IOCs 的处置重心应从 IP 层切换到域名层；对「泛解析+随机串子域」形态域，DNS 层整族拦截成本最低。

4. 一手受害者报告：spacedesk 伪装安装包 + 挖矿载荷 + 三节点哨兵互守（银狐归属待核实）

•时间：2026-10-26 04:26 发布（hqwc.cn「编程知识」栏目，作者自述为高中生受害者，非厂商报告）

•来源：一次真实的银狐木马应急响应全过程——从CPU飙升到彻底清除

•要点：

•投递链：官网不可达 → 第三方下载站下载 spacedesk 服务端压缩包（spacedesk 为远程屏显工具，本报首见伪装目标）→ Defender 弹窗「不安全」→ 弹出「spacedesk 防商业使用验证」窗口诱导「信任并运行」——利用弹窗社工强制信任为新话术形态；

•载荷行为：挖矿主进程 NHdOoHGU.exe（i7 满 CPU）+ 挖矿池配置 .db + PNG 隐写载荷（96×96 分辨率、4.5MB、下半区花屏——尺寸/体积严重失配）；落盘于 Program Files / Program Files (x86) / ProgramData 三处乱码目录；

•三节点分布式哨兵互守：true update client（伪装更新客户端）、Philips Speech Driver Client Configuration（伪装飞利浦语音驱动）、乱码目录主程序——三进程互相监控、任一被杀即由其余节点复活（watchdog 互守），与本报 10-15 期观测的银狐守护机制同构；

•反安全工具：按进程名禁用腾讯电脑管家、360 系统急救箱（SuperKiller.exe）、Everything（改副本文件名可绕过）；文件以 Everyone 权限锁定（takeown+icacls+DiskGenius 强删组合可清除）；

•⚠️ 归属甄别：作者按 VT 结果自行判断为「银狐/挖矿」，未提供哈希与 C2；挖矿主载荷与银狐 RAT 混投可能性存在，银狐家族归属待核实——但 spacedesk 下载站投毒路径、哨兵互守、按名禁用安全工具三项与已知银狐 TTP 吻合度高，按「技术细节可信、家族归属存疑」入档。

•影响面：企业侧可直接引用的是话术与行为特征（见检测建议 3/4/5），而非 IOC；「防商业使用验证」类弹窗应纳入用户安全意识案例库。

5. 监测面：周末样本静默 + 双库状态

•时间：2026-10-26 检索

•来源：Derp ValleyRAT Tracker / 微步银狐情报共享站 / 2-spyware ValleyRAT 核查页（2026-10-25 facts check）/ CVERC 官网

•要点：

• Derp 库 369 持平：10/25、10/26 双日零新样本（周末效应，历史周末普遍低量）；10/24=1 经 T+2 复核维持无回填（昨日待办①结案——本轮无第 9 次 T+1 漏计）；

• 微步共享站标签维持「25日更新」（26 日未刷新，盲区第 1 日，未达升级阈值），IoC 总量 7,449；热点榜新增条目详见本报 10-25 期，本期无变化；

• abuse.ch 侧（2-spyware 10-25 核查引用）：ValleyRAT 在 ThreatFox 与 MalwareBazaar 各 12 条，最新 10-21（10/18-21 连续入库）——国际公开库小规模持续，无爆发；

• CVERC 官网最新仍为 10-22 Weaxor / 10-19 人社仿冒预警，CCTGA 第九批未发（窗口第 3 天，4-30 天常态区间）；

• mallory.ai Silver Fox 页 \"Updated today\"（聚合平台例行刷新，无带日期锚点的增量披露，不计入）；

• 甄别排除：ClosedQuorum（Talos 披露的 AI quorum 恶意软件）与银狐无关；hqwc.cn 另一篇钓鱼科普文为旧文重索引；Lazarus PHP2Shell、Vultur 均无关。

•影响面：样本静默期适合补做存量复核（本报本期 DNS 存活复核即为补位动作）；周一（10-27）关注 Derp 周末回填与微步「26/27日更新」。

三、技术分析

本期 DNS 存活复核结果（本报 10-26 实测）

hqwc.cn 受害者报告行为链（银狐归属待核实，行为特征可引用）

ATT&CK 映射（本期观测增量）

四、IOC 清单

本期新增（本报 10-26 DNS/RDAP 实测）

存量复核（维持有效）

第八批 10 IP（177.4.3.x 六 IP / 47.242.x 双 IP / 148.66.11.18 / 137.220.136.168）处置优先级下调为取证快照——关联域 3 天内已全部迁移（本二期事件 2/3）。

五、检测与防护建议

1.域名层处置优先级再强化（本期核心结论）：第八批通报 3 天内关联域全量迁移证明逐 IP 名单时效 ≤3 天——企业侧落地顺序应为：泛域整族拦截（bvndjx.cn、mlcrosoft.vip/.my、mlcro.\*）> 段级观察（8.218.208.0/24、103.86.47.0/24）> 单 IP 封禁（仅做即时止损）。

2.laicaishuli.com 与 103.86.47.0/24 观察名单：该域双 A 记录跨 KT/Moack 两供应商，单 IP 封禁无效；对 103.86.47.0/24（Moack，admin 上海西玛）做出口命中率评估，若再有第三点命中可升级段封。NTA 侧可叠加 Netresec JA3/JA3S 指纹（本报 10-25 期已列）做协议层检测。

3.spacedesk 下载站投毒入管控清单：spacedesk 仅放行 spacedesk.net 官网域名；「防商业使用验证」「激活验证」类强制弹窗话术纳入用户意识培训案例（弹窗要求「信任并运行」= 直接红线）。

4.哨兵互守检测（EDR 通用规则）：对「进程对/进程组互拉活」拓扑建告警——A 进程终止后 N 秒内由 B、C 进程拉起，循环出现即触发；处置必须同批全节点清除（呼应 mallory/公开报告中的 watchdog 模式）。

5.PNG 隐写静态特征：邮件网关与终端 DLP 对「图片分辨率与体积严重失配」（如 96×96 @ 数 MB）的 PNG 附件/落盘文件告警——低成本高召回的辅助检测点。

6.反安全工具黑名单处置预案：维护「被按名禁用」工具的改名副本清单（SuperKiller→1.exe、Everything 便携版等）并纳入应急 Runbook——hqwc 报告实证改名绕过有效。

7.维持项：CTG 五段（202.61.157.0/24 / 202.61.140.0/24 / 14.128.40.0/21 / 27.124.12.0/24 / 134.122.128.0/20）与 177.4.3.0/24 段封维持；adoresd.dat×UxEnhance64.dll 成对落盘指纹、JA3/JA3S 三件套等既有检测点延续（见 10-25 期）。

六、参考来源

历史背景折叠：CCTGA 第八批全量 IOC 与 RDAP 定性见本报 2026-10-25 期；roujizaixian.com（肉鸡在线）养域批次与 BAYS220 关联见 10-25 期；AtlasRAT 协议演化四阶段与 JA3/JA3S 指纹见 10-25 期；CTG 五段清单与阿里云 HK+SG 掩体带见 10-22/10-23 期；域名池 12 域五种落点形态见 10-22 期。

甄别记录：hqwc.cn 受害者报告无哈希/C2，银狐归属待核实（挖矿+RAT 混投可能），仅行为特征入检测建议；ClosedQuorum（Talos）与银狐无关；mallory.ai 页面刷新为聚合例行更新；2-spyware 为第三方核查页非原始披露；98.159.108.61 归属 ARIN 查询无响应，标注待核实。

本日报由自动化脚本生成 · 仅供企业蓝队参考