安全溯源月报，银狐木马日控6549台设备，密码喷洒破8100万次

子午猫
子午猫

网络侦查研究院

2026年11月7日 06:32
湖南

去阅读

事件复盘，IP地址是安全溯源的核心痕迹

发起方最难抹掉的网络痕迹，往往不是代码漏洞，而是通信留下的IP地址。2026年过去的大半年，多起安全事件印证了这一点，IP解析始终是安全分析的第一步。

其一，银狐木马。2026年9月23日，CNCERT披露“银狐”木马专项打击进展，公开控制规模较大的TOP 10恶意网络资产，归属地主要集中于中国香港地区，排名首位的IP日控制规模达 6549台 设备。拿到恶意IP清单后，首要动作是排查内网流量是否出现与这些IP的通信，并结合访问时间、源IP、终端信息做关联分析。

其二，BGP劫持。2026年8月28日20时57分（UTC），有人向全球路由表宣告更具体的IP前缀 162.55.80.0/24，该段原属Hetzner（AS24940）的162.55.0.0/16，借最长前缀匹配规则引流合法流量，持续约 33小时。宣告AS路径经NexonHost（AS62390）、Zet.net（AS6204），且ROA记录恰好允许该前缀长度，使路由在RPKI验证下仍显示有效。安全团队需持续监控IP前缀的宣告来源、AS路径与RPKI状态。

其三，大规模密码喷洒。2026年6月12日至26日，名为LSHIY的异常活动针对Azure CLI发起密码喷洒，14天 内尝试登录超 8100万次，波及 64个 组织、至少 78个 账号得手，关键是利用了已不建议使用的OAuth ROPC流程绕过交互式多因素认证。溯源显示异常流量几乎全部来自IPv6地址段 2a0a:d683::/32（AS32167，LSHIY LLC运营）。

情报价值：IP地址查询已从“查归属地”升级为溯源核心能力，落地为三件事，快速定位恶意资产、关联同ASN备用控制端、将恶意IP写入防火墙与WAF阻断规则。

来源：科技有用论（2026年9月29日），江苏