银狐情报｜CTG段位单日5→8段，仿冒远程工具安装包首见
原创
安全情报官
安全情报官
老肖SOC安全分析笔记
2026年10月27日 10:21
上海
去阅读
银狐情报｜CTG段位单日5→8段，仿冒远程工具安装包首见
SILVER FOX THREAT INTELLIGENCE DAILY
一、今日概览
周末（10/25–10/26）Derp 库\"零入库\"被证实为采集回声：今日复核库容 369→384（+15），10/25 单日实际回填 10 个样本、10/26 新增 1 个、10/24 由 1 修正为 5——T+2 复核机制第 9 次验证有效，银狐投放从未中断。15 个新样本全部完成配置提取，产出 9 个本报首见新 C2，其中三个基础设施重磅增量：① 微步\"26日更新\"IP 榜双 IP 落入 CTG-HK 两个全新段位（27.124.17.0–18.255、27.124.40.0/21），叠加样本 C2 202.79.166.26 实锤 202.79.164.0/22（[email protected]）——CTG Server 银狐段位单日 5→8 段；② 跨境访问工具伪装安装包首见（50.6MB NSIS 完整安装链、系统启动级组件标签），远程/代理类工具伪装线扩至第 5 个目标；③ 10/26 最新样本为马来语税务催缴邮件（NOTIS TUNTUTAN CUKAI DAN PENALTI），C2 落回 202.61.85.0/24（GNSC HK），与 10-22 柬埔寨诱饵带同段——东南亚税务诱饵线经周末休整后回归。官方通报面（CVERC/CCTGA）第九批窗口第 5 天，无新通报。
二、重点事件
1. CTG Server 段位单日 +3：5→8 段，封禁清单必须升段级（今日头号）
•时间：2026-10-27 核查（微步 26 日更新数据 + Derp 10/24 样本配置）
•来源：微步银狐情报共享站（26日更新）；Triage 261024-w4fj2sbw5s；APNIC RDAP
•要点：
• 微步热点 IP 榜 27.124.18.142 与 27.124.45.182 双双在榜，RDAP 定性：前者属 27.124.17.0–27.124.18.255（BCPL4-AP + IRT-CTG-HK），后者属 27.124.40.0–27.124.47.255（RCPL3-AP + IRT-CTG-HK）——均为 CTG 体系全新段位，与既有 27.124.12.0/24 不重叠；
• 10/24 样本（M-vps LNK 投递，见重点 2）C2 202.79.166.26:6666/8888，RDAP = 202.79.164.0–202.79.167.255（BCPL3-AP，BGP Consultancy，abuse@ctgserver.net）——样本侧直接实锤 CTG 第 6 段，且与官方第八批点名的 137.220.136.168 同为 CTG 生态；
• CTG 银狐段位清单更新至 8 段：14.128.40.0/21、202.61.157.0/24、27.124.12.0/24、202.61.140.0/24、134.122.128.0/20、27.124.17.0/23（新）、27.124.40.0/21（新）、202.79.164.0/22（新）。
•影响面：CTG 已占银狐 C2 基础设施最大单一供应商份额；单 IP 封禁完全跟不上其段内轮换速度，处置必须升级为段级。
2. 跨境访问工具伪装安装包首见 + 订阅配置 LNK 投递：远程工具伪装线双响
•时间：样本 10/24 入库、10-27 定案
•来源：Triage 261024-j4jv9aaw6l、261024-w4fj2sbw5s
•要点：
•仿冒某跨境访问工具的安装包（50.6MB）：内含完整 NSIS 安装器（ysds\_win11\_desktop\_10.22\_scjsk.exe，携带 VC\_redist、ffmpeg 组件等全套正规组件），Triage 标记系统启动级组件 + valleyrat\_s2；配置 version=25.8.31、campaign\_date=2026.8.12；C2 137.220.140.19:15443/5555/8888（RDAP：CloudBays HK，137.220.140.0/24——该 /24 段内已出现 3 个银狐 C2：官方第八批 137.220.136.168 同供应商、roujizaixian.com 落点 137.220.158.99 同 /20 邻段、本样本 .140.19）；
•「M-vps - 只适用于单订阅-.lnk」（8KB LNK + zip 双层）：伪装代理订阅配置文件，campaign\_date=2026.8.29，C2 202.79.166.26（CTG 新段，见重点 1）；行为含 VMWare 沙箱检测（T1497）+ SetThreadContext 注入迹象；
• 继某开源代理客户端（第七批）、spacedesk（10-26 一手案例）、Rambox（微步 10-25）后，跨境访问工具、M-vps 为该伪装线第 4、5 个目标——\"程序员/跨境网络访问/远程工具\"已成为银狐稳定攻击面。
•影响面：企业内有跨境网络访问/远程运维需求的员工是高暴露人群；50MB 级完整安装包（内嵌正规组件）对邮件网关和终端静态检测都是体积+合法组件双重挑战。
3. 周末样本回声结案：15 样本 9 新 C2，9 组落点全部 RDAP 定性
•时间：10/22–10/26 批次，10-27 全量定案
•来源：Derp ValleyRAT Tracker（库容 384）；Triage 配置提取（15/15 成功）
•要点（新 C2 按基础设施归组）：
•马来西亚双点：10/26 样本 NOTIS TUNTUTAN CUKAI DAN PENALTI.eml（马来语\"税务催缴与罚金通知\"，12KB 邮件体）C2 202.61.85.47:32151/32152（GNSC HK /24，与 10-22 柬埔寨 LHDN 诱饵 C2 .173/.76 同段回归）；10/25 样本 C2 161.248.14.77:443/80（NetForge 马来西亚，161.248.14.0/23）——与微步 26 日榜 161.248.14.157 同 /24，样本↔情报双源互证，马来西亚首次同时出现在样本 C2 与微步热点榜；
•语义域名 liyunee.top:7831/7841/7851（botnet 1023 / campaign 10230020）：当前解析 156.251.11.79——与本报域名池第 11 域 articio.top（10-22 定案）完全同 IP，域名池解析层首次会师；NS 为 share-dns.com/net；容器内含共享 stager 144ddea8（U1023105005.exe）第 3 次复用、KBDA3.DLL/KBDAZE.DLL 键盘布局仿冒及 DMAlertListener.ProxyStub.dll、TimeDateMUICallback.dll 侧载组件；
•连连国际段双大包：103.215.76.23:9809（RDAP：LANLIAN INTERNATIONAL HOLDING GROUP，103.215.76.0/22，HK，gmail 联系人小段）——两个 PyInstaller 巨包（153.0MB 10.21bitzwllwcgtysrj.exe + 145.5MB 10.24Qsyyceqngfnui.exe，同 campaign 2026.10.21）指向同一 C2，行为含 SSH 密钥读取、修改防火墙（T1562.004）、Netsh Helper DLL 持久化（T1546.007，本报首见该技术）、服务创建（T1543.003）；
•Layerlinks 域+IP 双通道：样本 C2 kkiixu2026.com:443 + 66.203.153.198:443（域名解析 66.203.153.200，Cloudflare NS）——语义化\"kkii×u+年份\"命名，66.203.144.0/20（Layerlinks Global，HK）为本报首见段位；
•已见 C2 复用确认：202.61.157.33:21357 集群第 12 样本（20MB 注释污染样本）；47.243.109.132:5252 第 4 样本（5830E9F5…dll.exe，210KB，PowerShell Defender 排除 + campaign 20261020）——六连号 C2 沉淀为常驻节点；
•IMG 容器 + 根证书第 5 例：24102026_1835_23102026_4.img.zip（1.8MB）内 DF-202601001301.exe（451KB）C2 202.61.160.251:667（BGPNL /22，SG 注册 HK abuse）；行为含安装根证书（T1553.004，第 5 例）、DCAgent 远管工具滥用、检测 Wireshark/Fiddler 注册表、VBScript 执行——文件名\"DF-2026-01-0013-01\"形态为电子单据编号伪装（DF=单证前缀，待核实具体业务系统）。
•影响面：样本构建节奏（campaign\_date 分布 8.12/8.29/10.1/10.21/10.24）显示多批次库存并行投放；9 组新落点覆盖 HK×5、MY×1、SG×1、US 注册 HK 运营×2，亚太 IDC 小供应商仍是主力。
4. 微步\"26日更新\"恢复：IP 榜全换血，云厂商版图首入 AWS 香港
•时间：2026-10-27 核查（微步标注\"26日更新\"）
•来源：微步银狐情报共享站
•要点：
•IP 榜 15 条几乎全换，RDAP 全量定性后分七类：CTG 双新段（27.124.18.142/.45.182，见重点 1）；AWS 香港 18.167.107.230（Amazon Data Services HKG 18.166.0.0/15）——AWS HK 首次进入微步银狐热点 IP 榜，此前云侧仅阿里云/腾讯 COS/火山 TOS/AWS S3 东京；阿里云 HK 47.86.107.81（47.86.0.0/16，掩体版图再添一段）；Cloud Innovation 系 3 IP（156.251.18.113/156.251.16.147/45.204.200.26，US 注册）——与本报 156.251.11.79（liyunee/articio 落点）同门不同段，CIS 系段位扩至 3 个 /24+；StarCloud 新加坡 149.104.1.245；IPXO 租赁市场 170.62.130.22（Turing Group，IPXO geofeed）；NTT 转售 207.56.28.198、HK Sun 121.127.254.125、NetForge MY 161.248.14.157、AtlasRAT 23.226.57.50 第 3 日在榜、192.252.185.92/192.229.81.81 延续；
• 域名榜 OSS 桶 8/15（北京区 5 + 杭州区 3）再创占比新高，语义域 buyaofengwoa.com（\"不要蜂窝\"？语义待核）、etgul.cn、facaai3.com、gwkwjnssa.cn 等混投；
• IoC 总量数字页面未渲染（\"26日更新\"已出但计数器空白，总量待核，昨日 7,449）。
•影响面：微步榜与本报样本侧连续第三日双向互证（161.248.14.x 今日最强）；AWS HK 入榜意味着银狐云基础设施评估需扩展到 AWS 侧。
5. 官方与厂商面：无新通报；两篇\"10月变种\"文章甄别为旧文
•时间：2026-10-27 核查
•来源：CVERC 官网；CCTGA 渠道检索；亚信安全官网；SecLens
•要点：CVERC 信息安全摘要最新仍为 10-22 Weaxor 预警；CCTGA 第八批（10-23）后第 5 天无第九批（常态窗口 4–30 天）；甄别排除：亚信安全《银狐木马10月新变种：隐身三件套升级》实为 2025-11-21 发布的去年旧文（SetupFactory/CEFProcess/libcef 白加黑链，IOC ac2ee149…为 2025 年样本）；SecLens 251735《银狐传播 AtlasCross RAT》为 2025-10-27 去年今日旧文——两篇均在搜索结果中排名靠前，注意勿误引。
•影响面：无新增官方处置动作；本周官方节奏焦点仍在第八批 10 IP 的处置消化期。
三、技术分析
3.1 本周样本加载链全景（10/22–10/26，15 样本归纳）
| 投递形态 | 本周案例 | 加载链 | 占比 |
|---|---|---|---|
| 巨型 PyInstaller 包（145–153MB） | bitzwll/Qsyy 两大包 | PyInstaller → 释放 EXE/DLL → valleyrat\_s2；含防火墙关闭、Netsh Helper、服务创建 | 2/15 |
| NSIS 完整安装器（50MB+，正规组件伪装） | 跨境访问工具伪装包 | NSIS → 系统启动级组件 → valleyrat\_s2 v25.8.31 | 1/15 |
| IMG/ISO/VHD 容器 | 4.img.zip（DF-单证编号） | 挂载 → DF-\*.exe（451KB）→ 根证书安装 + mfc140u.dll 白加黑 | 1/15 |
| LNK + zip 双层 | M-vps 单订阅.lnk | LNK → 命令混淆（T1027.010）→ 下载执行 | 1/15 |
| 邮件直接投递（.eml） | 马来语税务催缴 | 邮件 HTML → 下载链 | 1/15 |
| DLL 侧载组件包 | 05693714 容器（KBDA\*.dll×N + ProxyStub） | 白进程加载 → valleyrat\_s2 | 3/15 |
| 多家族命名压缩包（安全研究/分发侧污染命名） | amadey/icedid/stealc 等命名样本 | 实际 valleyrat\_s2 配置 | 6/15 |
3.2 ATT&CK 映射（本周新增/强化点）
| 技术 | 编号 | 本周状态 |
|---|---|---|
| 鱼叉钓鱼附件 | T1566.001 | 持续（马来语税务邮件新语种） |
| 用户执行·恶意文件 | T1204.002 | 持续 |
| 注册表 Run 键持久化 | T1547.001 | 高频（8/15 样本） |
| UAC 绕过 | T1548.002 | 高频 |
| 禁用 Defender（PowerShell 排除项） | T1562.001 | 持续 |
| 禁用/修改防火墙 | T1562.004 | 本周强化 （PyInstaller 大包） |
| Netsh Helper DLL 持久化 | T1546.007 | 本报首见 （PyInstaller 大包） |
| 创建服务持久化 | T1543.003 | 本周强化 |
| 安装根证书 | T1553.004 | 第 5 例固化 （IMG DF-202601001301） |
| 系统.Location/语言地理围栏 | T1614/.001 | 高频（geofence 常态化） |
| 虚拟机/沙箱规避（VMWare 键/服务查询） | T1497 | 持续 |
| 凭据·浏览器 | T1555.003 | 持续 |
| 凭据·SSH 密钥文件 | T1552.001 | 本周强化（大包读取 SSH 密钥） |
| 命令混淆 | T1027.010 | LNK 样本 |
| 进程注入（SetThreadContext） | T1055 | LNK 样本 |
| 视频捕获 | T1125 | 多样本 |
| 直接卷访问 | T1006 | 伪装安装包/侧载样本 |
3.3 值班判断
•CTG 段位扩张速度加快：此前 4 个月累计 5 段，今日单日 +3——结合官方第八批点名后 3 天整体迁移（10-26 期），团伙对被打压段位的\"补段\"响应周期已缩短到天级；
•大包化与正规组件化并行：50–153MB 安装包内嵌 VC\_redist/ffmpeg 等正规组件，静态引擎面对\"合法文件海\"的检测成本急剧上升（微步典型样本检出率仍 1–6/28），行为侧检测权重须提高；
•东南亚语种投递进入多语种轮换：马来语（LHDN 10-21、NOTIS CUKAI 10-26）→ 柬埔寨语 → 印尼语（DJPPAJAK）交替，南向攻击面稳定运营。
四、IOC 清单（今日增量）
| 类型 | 值 | 关联/备注 | 首见 |
|---|---|---|---|
| IP:Port | 202.79.166.26:6666/8888 | M-vps LNK 样本 C2；CTG 202.79.164.0/22（BCPL3-AP，[email protected]） | 今日 |
| IP:Port | 137.220.140.19:15443/5555/8888 | 跨境访问工具伪装包 C2；CloudBays HK 137.220.140.0/24（段内第 3 个银狐 IP） | 今日 |
| IP:Port | 161.248.14.77:443/80 | 10/25 样本 C2；NetForge 马来西亚；与微步榜 161.248.14.157 同 /24 | 今日 |
| IP:Port | 202.61.85.47:32151/32152 | 马来语税务邮件样本（10/26）C2；GNSC HK 202.61.85.0/24；端口对 32151/52 首见 | 今日 |
| IP:Port | 103.215.76.23:9809 | 双 PyInstaller 大包 C2；连连国际 LIHG 103.215.76.0/22 | 今日 |
| IP:Port | 202.61.160.251:667 | IMG（DF-202601001301.exe）C2；BGPNL 202.61.160.0/22 | 今日 |
| IP:Port | 66.203.153.198:443 | kkiixu2026.com 同伴 C2；Layerlinks 66.203.144.0/20 | 今日 |
| 域名 | liyunee.top （:7831/7841/7851） | botnet 1023 / campaign 10230020；解析 156.251.11.79（与 articio.top 同 IP）；NS share-dns.com/net | 今日 |
| 域名 | kkiixu2026.com:443 | 解析 66.203.153.200；CF NS（elliott/lindsey） | 今日 |
| IP（微步榜） | 27.124.18.142 / 27.124.45.182 | CTG 新段 27.124.17.0/23 与 27.124.40.0/21 | 今日 |
| IP（微步榜） | 18.167.107.230 | AWS 香港 18.166.0.0/15（银狐云版图首入 AWS HK） | 今日 |
| IP（微步榜） | 47.86.107.81 | 阿里云 HK 47.86.0.0/16 | 今日 |
| IP（微步榜） | 156.251.18.113 / 156.251.16.147 / 45.204.200.26 | Cloud Innovation 系（与 156.251.11.79 同门） | 今日 |
| IP（微步榜） | 149.104.1.245 | StarCloud SG 149.104.0.0/18 | 今日 |
| IP（微步榜） | 170.62.130.22 | IPXO 租赁（Turing Group） | 今日 |
| IP（微步榜） | 207.56.28.198 / 121.127.254.125 | NTT 转售 / HK Sun | 今日 |
| SHA256 | b46788cb5d9d…c3aeb29 | NOTIS TUNTUTAN CUKAI DAN PENALTI.eml（12KB，10/26） | 今日 |
| SHA256 | 01c204a2a9f0…60d09fe | 跨境访问工具伪装安装包（50.6MB）；内部 ysds\_win11\_desktop\_10.22\_scjsk.exe（SHA256 11d2f0cfe606…f3e，50.9MB） | 今日 |
| SHA256 | 75a95d40a3ef…f15b82c | 24102026\_1828\_14102026\_M-vps 单订阅 .lnk.zip；内层 LNK c3f6da05b30b…（8KB） | 今日 |
| SHA256 | 4fb8f3739d05…9f18943 | 24102026\_1835\_23102026\_4.img.zip；内层 DF-202601001301.exe 5ef3fe4a5e70…（451KB） | 今日 |
| SHA256 | 88c4e41d66f9…f0110c6 | 10.21bitzwllwcgtysrj.exe（153MB PyInstaller，C2 103.215.76.23） | 今日 |
| SHA256 | a862374d1f24…d0f38da | 10.24Qsyyceqngfnui.exe（145.5MB PyInstaller，同上 C2） | 今日 |
| SHA256 | 0569371406ee…ccdfe30 | liyunee.top 配置容器（botnet 1023；含共享 stager 144ddea8…第 3 次复用） | 今日 |
| SHA256 | 37e4943b8094…9b95099 | 5830E9F53A…dll.exe（210KB；C2 47.243.109.132:5252 第 4 样本） | 今日 |
| SHA256 | 5b939e3db338…02c356f | kkiixu2026.com 样本（20MB 注释污染） | 今日 |
| SHA256 | 7e277cd70abc…41af11b | 161.248.14.77 样本（108KB） | 今日 |
| 段位 | 27.124.17.0/23、27.124.40.0/21、202.79.164.0/22 | CTG 银狐段位清单 5→8 段 | 今日 |
完整 30 条微步 Hash 增量见微步共享站\"26日更新\"；本表仅列本报独立核实项。哈希均为截断展示，全值见参考来源报告原文。
五、检测与防护建议
1.【段级封禁·立即】 将 CTG 三新段加入出口黑名单：27.124.17.0/23、27.124.40.0/21、202.79.164.0/22（含 202.79.166.26:6666/8888 端口对）；同步评估 137.220.140.0/24（CloudBays，段内 3 IP）与 156.251.11.0/24（域名池会师落点）段封；
2.【域名层·立即】 liyunee.top、kkiixu2026.com 整域封禁（.top 语义域池已 13 域，全部域名层优先）；OSS 桶泛域告警维持（\*.oss-cn-beijing.aliyuncs.com 异常桶名 8 个新桶）；
3.【EDR·本周内】 新增两个检测点：① Netsh Helper DLL 持久化（T1546.007，netsh.exe 加载 %ProgramData% 或非常规路径 helper DLL 即告警）；② IMG 挂载 + 根证书安装组合（T1553.004 第 5 例，certutil -addstore root 父进程为挂载卷内 PE 时高置信）；
4.【邮件网关】 马来语/柬埔寨语/印尼语税务主题邮件模板入库（NOTIS TUNTUTAN / LHDN / DJPPAJAK 关键词）；对 >40MB 的\"软件安装包\"类附件提高沙箱优先级（本期 50MB 级 NSIS 伪装包内嵌正规组件，静态引擎 1–6/28 检出率不可依赖）；
5.【终端】 远程/代理类工具下载源白名单化：本期新增 2 个、累计 5 个已被仿冒目标（含跨境访问工具、开源代理客户端、远程桌面与通讯聚合工具），凡非官网下载一律拦截；浏览器检查 SSH 密钥目录（~/.ssh）读取行为告警（T1552.001）；
6.【云侧】 AWS HK（18.166.0.0/15）出网流量中加入银狐样本侧狩猎规则——AWS 首入微步榜，样本对应关系待猎捕，先告警观察不封禁；
7.【情报甄别】 近两日搜索结果中 2025 年旧文（亚信 SetupFactory 变种、SecLens AtlasCross）活跃重推，引用前核对原始发布日期。
六、参考来源
| # | 标题 | 链接 | 日期 |
|---|---|---|---|
| 1 | Derp ValleyRAT 7d C2 Tracker（库容 384，10/22–26 共 15 样本） | https://www.derp.ca/win\_valley\_rat | 2026-10-27 查询 |
| 2 | Triage 261026-dsd8qsc16q（NOTIS TUNTUTAN CUKAI 邮件样本） | https://tria.ge/261026-dsd8qsc16q | 2026-10-26 |
| 3 | Triage 261024-j4jv9aaw6l（跨境访问工具伪装包，启动级组件标记） | https://tria.ge/261024-j4jv9aaw6l | 2026-10-24 |
| 4 | Triage 261024-w4fj2sbw5s（M-vps 订阅配置 LNK，CTG 新段 C2） | https://tria.ge/261024-w4fj2sbw5s | 2026-10-24 |
| 5 | Triage 261024-w8fevabw71（4.img.zip，根证书第 5 例） | https://tria.ge/261024-w8fevabw71 | 2026-10-24 |
| 6 | Triage 261024-nrgbtahw3v（kkiixu2026.com 样本） | https://tria.ge/261024-nrgbtahw3v | 2026-10-24 |
| 7 | Triage 261025-s29hkah17k（liyunee.top botnet 1023 容器） | https://tria.ge/261025-s29hkah17k | 2026-10-25 |
| 8 | Triage 261025-ycj49shf46（161.248.14.77 马来西亚样本） | https://tria.ge/261025-ycj49shf46 | 2026-10-25 |
| 9 | Triage 261025-n6xmcafw5z / 261025-pahc8azwcw（PyInstaller 双大包） | https://tria.ge/261025-n6xmcafw5z | 2026-10-25 |
| 10 | 微步在线银狐情报共享站（\"26日更新\"） | https://s.threatbook.cn/cybercrime/silverfox | 2026-10-26 更新 |
| 11 | APNIC/ARIN RDAP 段位查询（27.124.x/202.79.x/137.220.140/66.203.153/103.215.76/161.248.14/18.166/47.86/149.104/156.251/45.204/170.62/207.56/121.127/98.159.96 等 20 项） | https://rdap.apnic.net / https://rdap.org | 2026-10-27 查询 |
| 12 | CVERC 官网（最新摘要仍为 10-22 Weaxor，无银狐新通报） | https://www.cverc.org.cn/ | 2026-10-27 核查 |
| 13 | CCTGA 第八批二次传播甄别（sohu/腾讯新闻/蓝易周报均为 10-20/10-23 内容重发） | https://news.qq.com/rain/a/20261020A0CT9Z00 | 2026-10-27 核查 |
| 14 | 〔甄别排除〕亚信安全《银狐木马10月新变种》＝2025-11-21 旧文 | https://www.asiainfo-sec.com/about/news/detail-7816.html | 2025-11-21 |
| 15 | 〔甄别排除〕SecLens《银狐传播 AtlasCross RAT》＝2025-10-27 旧文 | https://seclens.info/bulletins/251735 | 2025-10-27 |
附：昨日待办结案与新待办
结案：② 98.159.108.61（mlcrosoft.vip 迁移落点）RDAP 今日定性 98.159.96.0/20\"IDC\"泛名段（具体组织待核）；④ Derp 周末零入库＝采集回声，10/25 实际 +10、10/24 修正 1→5（T+2 机制第 9 次验证）；⑤ 微步盲区 1 日终结（26日更新恢复）；⑥ CCTGA 第九批第 5 天未发（常态）。
新待办：① 27.124.17.0/23 与 27.124.40.0/21 段内轮换扫描（CTG 6/7 段）；② 202.79.164.0/22 段内 6666/8888 扫描（CTG 8 段）；③ liyunee.top whois 与 share-dns 注册商线比对（域名池 13 域是否同注册商批次）；④ 103.215.76.0/22（连连国际）段内 9809 扩证；⑤ 66.203.144.0/20（Layerlinks）域名+IP 双通道监测；⑥ 10/26 样本 T+2 复核（10-28）；⑦ AWS HK 18.166.0.0/15 样本侧对应猎捕（微步榜 18.167.107.230）；⑧ DF-202601001301 单证编号伪装的业务系统溯源；⑨ 延续：spacedesk 样本猎捕、118.128.151.51 KT 段关联、47.91.170.222/47.76.127.217 归属扩证、103.86.47.0/24 第三点、CCTGA 第九批窗口。
本日报由自动化脚本生成 · 仅供企业蓝队参考
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论