银狐情报｜CIS转租IP池单日四段登顶热点榜：XHOST与Cogent直营段同日首现，大陆portable段落点待核实

原创

安全情报官
安全情报官

老肖SOC安全分析笔记

2026年11月7日 09:29
上海

去阅读

银狐情报｜CIS转租IP池单日四段登顶热点榜：XHOST与Cogent直营段同日首现，大陆portable段落点待核实

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1. 过去 24 小时无新增官方通报、无新样本原始披露。CCTGA 第九批通报第 16 天未发（已超历史常态 4-30 天上界临界，随时可能发布）；Derp 库 495 持平，11/6 首读为 0（T+1，明日复核），11/5=5 维持定案（昨日待办⑥兑现，T+2 漏计规律第 18 次验证通过）。

2.头号增量：微步 07 批 IP 榜结构性变化——13/15 换血后，Cloud Innovation 系（AFRINIC 转租空间）以 156.251.11.137 / 156.234.43.74 / 156.247.40.56 / 45.203.216.97 四点分布四个不同段的密度登顶在榜第一大势力（27%），较 10-27 期「3 个 /24+」显著扩容至 7 个已观测段，段级封禁清单需同步扩容。

3.两家全新托管商同日首现：XHOSTSERVER（66.212.58.50，66.212.56.0/22，ARIN 直配，本报全库无记录）与 Cogent 直营 149.88.0.0/16（149.88.76.119）——后者与此前银狐触角的 154.x Cogent 空间（多为二手转售段）不同，为运营商直营段首次入谱系，「买旧不买新」策略线之外新增直租通道。

4.中国大陆 portable 段首见：110.42.6.205 经 RDAP 落锤 nbgaofang（110.42.0.0/17，APNIC ALLOCATED PORTABLE，中国注册）——继 11-02 期阿里云杭州大陆云段后，境内落点扩至非云大厂的 portable 段（疑似中小机房/高防资源），性质待核实，处置走境内举报通道，不建议直接封禁。

5. 域名侧：ga\/ly\ DGA 池在 11-04 全占后经 3 天杂域/云桶间隔重回 13/15 主导（云桶仅剩 mm2027 杭州桶 1 条），「DGA 与云桶隔日轮换」节律再次验证；facaai3.com（10-24 首见）→ facaai4.com 系列化编号递增；dowiehksjvuen.cn（键盘走线随机串 .cn）与 www.ghxc5sjg.com 为本报全库首见全新杂域。IoC 总量 7,402→7,538（+136）。

二、重点事件

事件 1：Cloud Innovation 转租体系单日四段多点聚首，成银狐热点 IP 榜第一大势力

•时间：2026-11-07（微步「07日更新」批次）

•来源：微步在线银狐情报共享站 + 本报 RDAP 核验

•要点：

• 今日 IP 榜 15 条中 13 条换新，其中 4 条经 RDAP 均定性为 Cloud Innovation 系（AFRINIC 注册主体 CIS1，转租/PA 空间）：

156.251.11.137（156.251.0.0/16，连续第 2 日在榜，昨日同 IP）

•156.234.43.74（156.234.0.0/16，11-05 期同段 156.234.58.194 后第 2 点）

•156.247.40.56（156.247.40.0/24 段内首点）

•45.203.216.97（45.203.216.0/24，US 标注）

• 本报口径下 CIS 系已观测段达 7 段：156.251.11.x / 156.251.16-18.x / 45.204.200.x（10-27）→ 156.234.7.x / 156.234.58.x（11-05 前后）→ 156.247.40.x / 45.203.216.x（本批）；
• 该体系特征：AFRINIC 历史转租 IP（多数为 ERX/stub 无详细注册数据），无有效 abuse 处置渠道，跨 /16 大跨度分布使传统「C 段封禁」跟进成本陡增——单日 27% 在榜率说明银狐已将其作为主力轮换资源池之一。
• 影响面

：建议将 CIS 系 4 个 /24（156.251.11.0/24、156.234.43.0/24、156.247.40.0/24、45.203.216.0/24）加入出口侧封禁与 DNS 监控；情报侧建议对 AFRINIC PA 空间内银狐已知点的相邻 /24 启用预热监控（该体系段间无业务关联，按已知点邻段扩展即可）。

事件 2：两家全新托管商同日首现——XHOSTSERVER 与 Cogent 直营 /16

•时间：2026-11-07（微步 07 批）

•来源：微步共享站 + 本报 RDAP 核验（rdap.org）

•要点：

•66.212.58.50 → XHOSTSERVER（66.212.56.0/22，ARIN DIRECT ALLOCATION，实体 XL-27）——本报全库（7-25 起 100+ 期）无任何 66.212.x 记录，为全新托管商；XHOST 系国际公认的滥用高发托管商，进入银狐谱系符合其「滥用友好资源」采购偏好；

•149.88.76.119 → COGENT-149-88-16（149.88.0.0/16，DIRECT ALLOCATION，实体 COGC）——全库无 149.88 记录；此前银狐触角的 Cogent 空间（154.201.68.57、154.198.49.x/50.x、154.19.248.31、154.23.182.117 等）多为二手转售段，本次为 Cogent 直营 /16 段首入谱系，说明其资源获取从「买旧」延伸至直营商租用；

•207.56.28.85 → NTT America 转售段（NTTA-207-56，207.56.0.0/14 直配）——与 10-27 期 207.56.28.198 同 /24 点位轮换（.198→.85），该段已确认为稳定租用资产，段内点位迁移符合银狐「段不动点动」的既有规律。

•影响面：66.212.56.0/22 与 149.88.76.0/24 建议纳入监控清单（149.88 直营 /16 体量过大勿整段封禁，先按已知点 /24 处置）；NTT 207.56.28.0/24 维持既有封禁建议。

事件 3：中国大陆 portable 段首见——110.42.6.205 落点定性

•时间：2026-11-07（微步 07 批）

•来源：微步共享站 + 本报 RDAP 核验

•要点：

•110.42.6.205 → nbgaofang（110.42.0.0/17，APNIC ALLOCATED PORTABLE，CN 注册，实体 YW7352-AP）——本报全库无 110.42.x/111.x 相邻段记录；

• 境内落点谱系更新：11-02 期 47.104.2.46（阿里云杭州，大陆云大厂首落）→ 本期 110.42.6.205（非云大厂 portable 段，注册名疑似宁波系中小机房/高防资源）——境内落点从「云大厂误用/中转」向「专业高防/小机房」扩展的初步迹象；

• 性质存疑（分发中转/统计/真实 C2 三种解释均未排除），且大陆 IP 直接封禁存在误伤与合规风险。

•影响面：标记待核实；建议经境内云商/IDC 举报核验通道（如 CNCERT 转报 [email protected]）确认性质后再定处置；监测侧可将 110.42.0.0/17 纳入新观测段。

事件 4：ga\/ly\ DGA 池重回 13/15 主导，facaai 系列编号递增至 4

•时间：2026-11-07（微步 07 批）

•来源：微步共享站

•要点：

• 域名榜 15 条构成：ga\* 前缀 7 条（gatyvyz/gacyzuz/gaqydeb/gadyfuh/galyqaz/gacyryw/ganypih）+ ly\* 前缀 5 条（lyryfyd/lygymoj/lygygin/lymyxid 及池内复现）+ facaai4.com（系列化新编号）+ mm2027.oss-cn-hangzhou.aliyuncs.com（唯一存续云桶）+ dowiehksjvuen.cn（全新）+ www.ghxc5sjg.com（全新）；

•投放节律第三次验证：11-04 DGA 全占 → 11-05/11-06 杂域+云桶 → 11-07 DGA 回归，「DGA 承载回连、云桶承接中转下发、分批曝光」的隔日轮换判断持续成立；

•facaai3.com（10-24 首见）→ facaai4.com：编号递增系列化，与 anonymousrat5→rat6（11-06）同模式，银狐域名工厂「主域系列化+编号递增」已成稳定生产行为；

•dowiehksjvuen.cn：键盘行走线式随机串（qwertz 布局相邻键），配合 9 月「同名跨后缀注册」手法（hhwqascxsdr 案），建议纳入 .cn 新注册域监控模式串；

• IoC 总量 7,402→7,538（+136），恢复日常回补增速。

•影响面：ga\/ly\ 池内域名均已多次在榜，建议维持主域级泛封禁（*gyz.com 等模式串风险高误伤，按已知池名单封禁更稳妥）；facaai\.com 与 anonymousrat\.com 均建议注册泛域名监控。

事件 5（监测面）：Derp 回填周期结案 + CCTGA 第九批窗口持续

•Derp ValleyRAT Tracker：样本库 495 持平（连续 2 日无净增）；11/5=5 维持定案（T+2 复核通过，昨日待办⑥兑现，「滚动窗口最新 1-2 天计数需回填」规律第 18 次验证）；11/3=13、11/4=6 均维持；11/6 首读 0（T+1 不引用，11-08 复核）；

•CCTGA 第九批：第八批（10-23）后第 16 天未发，已超历史常态 4-30 天上界临界；本周检索命中的 cn-sec「最新一批资产公布」实为第八批（11-03 转载），无新增资产；

•甄别排除（二次传播）：Tuxxin「SPDDUMP.EXE 白利用侧加载工具包开放目录」分析（whack.sh 原文/dev.to 转载，9 月 28-29 日旧披露，10-03 期已覆盖）；CNCERT「镜昙 G02」报告解读（freebuf/aqniu/搜狐 11 月初密集转发，10-23 原报告二次传播，11-05 期已排除）；齐鲁壹点「裁员名单新变种」（CVERC 10 月通报媒体扩散）。

三、技术分析

3.1 本期无新样本披露；基础设施侧「段不动点动」规律汇总

本期无新样本原始披露，Derp 11/6 首读 0。基于今日 IP 榜全量定性，银狐基础设施运营呈现三条已固化的规律：

3.2 域名工厂生产行为（本期观测）

•主域系列化编号：facaai3→facaai4（本期）、anonymousrat5→rat6（11-06）——两族并行，递增周期约 1-2 周；

•DGA 池休眠重启：ga\/ly\ 池域名集与 9-09/9-10 期、10-21~10-28 期高度重合（gatyvyz/gacyzuz/galyqaz/gacyryw 等均为复现），说明为固定池循环启用而非每次新生成——对蓝队意味着 DGA 池名单一次封禁长期有效；

•键盘走线随机串 .cn：dowiehksjvuen.cn——与 9 月 hhwqascxsdr 同风格，建议新注册域监控增加「键盘相邻键序列 + .cn/.top」模式。

3.3 ATT&CK 映射（本期无新增战术；基础设施侧映射维持）

样本级 ATT&CK 增量（T1059/T1547.001/T1548.002 等）见 11-05/11-06 期，本期无新样本故无新增映射。

四、IOC 清单

4.1 本期新增/复核 IP（微步 07 批全量定性）

4.2 本期域名（微步 07 批）

4.3 段级封禁/监控清单（本期更新）

4.4 微步 07 批热点哈希（截断展示，勿作唯一检测依据）

完整 30 条哈希见微步共享站；典型样本 install.2.0.07.zip（XPI PatchedHostLoader）为本批延续，版本号线 11-06 期已记 r2.0.08，本期无新版本迭代。

五、检测与防护建议

1.出口侧：将 4.3 节 CIS 系 4 个 /24 与 66.212.58.0/24、149.88.76.0/24 加入防火墙/DNS 出口黑名单；已封禁段（NTT 207.56.28.0/24 等）维持——「点位已换」不代表段已弃用；

2.DNS/威胁情报平台：ga\/ly\ DGA 池按名单封禁（池为固定循环启用，一次封禁长期有效）；facaai\.com、anonymousrat\.com 配置新注册泛域名告警；

3.境内落点处置纪律：110.42.6.205（nbgaofang 段）与 103.39.67.8（FXNET 段）均标记待核实，勿直接封禁——经 CNCERT 银狐专项线索邮箱（[email protected]）或云商/IDC abuse 通道核验后再处置，避免误伤与合规风险；

4.邮件网关：本期无新投递链，维持既有策略——HR 社工主题（裁员/补偿/名单/违纪）附件与链接拦截、压缩包与镜像格式（IMG/ISO/VHD）附件告警；

5.终端侧：无新 hunting 点（本期无新样本）；维持既有高价值指纹监控（Drivers\ 臆造词目录族、svchost\_AB 长串伪装、ProgramLog 伪根目录、SiPolicy.p7b 落盘等，见 11-04/11-06 期）；

6.情报运营：CCTGA 第九批随时可能发布（已超上界临界），发布后第一时间与本报 14 块 CTG 版图及 CIS 7 段做交叉比对——本报多条线索历史领先官方点名 1-4 天。

六、参考来源

脚注（历史背景）：CTG Server 自 10-22 期首次落锤以来已登记 14 块（含 202.95.0.0/19 母段合并修正，见 11-06 期）；Cloud Innovation 系自 10-27 期首次定性；「DGA 与云桶隔日轮换」节律自 11-04 期起三次验证；Derp T+2 回填规律自 9 月起 18 次验证。以上均为本报持续追踪资产，非本期新增。

本日报由自动化脚本生成 · 仅供企业蓝队参考