银狐情报｜大马机房带双供应商坐实：假火绒线C2落锤全新主体ABCCLOUD，单日11样本投放创11月次高

原创

安全情报官
安全情报官

老肖SOC安全分析笔记

2026年11月11日 09:24
上海

去阅读

银狐情报｜大马机房带双供应商坐实：假火绒线C2落锤全新主体ABCCLOUD，单日11样本投放创11月次高

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.头号增量：161.248.0.0/16 马来西亚机房带「双供应商」格局坐实，ABCCLOUD SDN BHD 全库首见。Malwarebytes 2026-02-24 假冒火绒官网报告（infosectoday 11-10 二次传播触发本报复核）中的 C2 161.248.87.250:443 经 APNIC RDAP 落锤 ABCCLOUD SDN BHD（161.248.87.0/24，MY，ASSIGNED NON-PORTABLE，2026-09-10 注册，abuse [email protected]）——本报托管商谱系第 62 家、全库首见主体；与 11-10 期 NetForge Solution（161.248.14.0/23，2024-12-23 注册）同 /16 不同子分配、两家独立法人。该 C2 首次公开披露于 2026-02（历史），但段级归属与 /16 关联定性为本报今日新增扩证；段注册时间（2026-09）晚于样本披露（2026-02）7 个月，段主体存在再分配/转让可能（待核实）。

2.Derp 11/9 批次回填 1→11（+10，T+2 第 22 次验证），总库 532→542（+10）；11/10 首读 0（T+1 不引用，11-12 复核）。11 月逐日序列至 11/9 为 9/8/13/6/13/16/3/9/11，日均 8.9 创本月新高（前值 8.6）；周二（11/9）投放回补量仅次于 11/6（16），「工作日中段放量」节律与 10 月一致。

3.Triage 沙箱平台全站 502（Cloudflare 网关 Bad gateway，curl/WebFetch 双通道确认，历史「间歇不可用」最严重一次）——11/9 回填 10 个新样本（不含昨日已报 cac94a9e）的 C2/行为深度核验顺延至 11-12（T+3）；Derp 页面哈希与报告链接已全量留档（见 4.2）。

4. 监测面：CCTGA 第九批第 20 天未发（官网列表口径，最新仍 11-02 第八批，持续超 4-30 天历史常态上界）；Forescout「Romulus」ClickFIX 投递平台报告（10-15 发布）经全文核验与银狐无关（作者明确否认与 Proofpoint 报道银狐所用 RomulusLoader 的关联，载荷为 LegionLoader 系），列入甄别排除；微步共享站 CSR 盲区持续。

二、重点事件

事件 1：ABCCLOUD 段落锤——161.248/16 马来西亚机房带双供应商格局成形

•时间：C2 首次公开披露 2026-02-24（Malwarebytes）；本报 RDAP 定性 2026-11-11

•来源：Malwarebytes 原报（经 infosectoday 二传） + APNIC RDAP 161.248.87.250

•要点：

•背景（历史回顾）：2026-02 Malwarebytes 披露假冒火绒官网事件——typosquat 域名族 huoronga[.]com/huorongcn[.]com/huorongh[.]com/huorongpc[.]com/huorongs[.]com 仿冒火绒官网（huorong.cn），经 hndqiuebgibuiwqdhr[.]cyou 中转、Cloudflare R2 桶（pub-b7ce0512…r2[.]dev）分发「BR火绒445.zip」，NSIS 安装器落地 WavesSvc64.exe + DuiLib\_u.dll + box.ini 侧加载链（内存 shellcode），最终 Winos4.0 stager 连接 161.248.87.250:443（自定义二进制协议伪装 TLS）；

•本期增量（新扩证）：APNIC RDAP 落锤 161.248.87.0/24 = ABCCLOUD SDN BHD（MY，2026-09-10 注册，abuse [email protected] / [email protected]）——全库首见主体第 62 家；与 11-10 期 NetForge Solution Sdn. Bhd.（161.248.14.0/23，ALOCATED PORTABLE，2024-12-23，[email protected]）同 161.248.0.0/16、不同子分配、独立法人独立 abuse 渠道；

•时间线异常：该 /24 现行注册时间（2026-09-10）晚于 C2 样本披露时间（2026-02-24）约 7 个月——段在此期间存在再分配/转让，或样本分析时间晚于采集时间；标注「待核实」，不影响现行归属口径；

• 行为面（Malwarebytes 口径）：T1562.001（Defender 排除项添加 AppData\Roaming\trvePath）+ T1053.005（计划任务「Batteries」伪装）+ T1574.002（DuiLib\_u.dll 侧加载）+ T1056.001（系统级键盘钩子）+ T1059.001（PowerShell 高完整性执行）——假冒安全软件类诱饵的对抗密度高于常规软件仿冒线。

•影响面：161.248.0.0/16 升级为段级观察对象（两家供应商并存提示该 /16 为银狐可稳定采购的大马机房资源池）；建议出口侧对该 /16 出向连接全端口审计；假冒火绒域名族（huorong\*.com 系列）与 hndqiuebgibuiwqdhr[.]cyou 中转域入历史 IOC 库复核（2026-02 首披露，今日二传再验证仍具检测价值——火绒仿冒线在 9-03 期仿冒安全软件模式中已有同型记录）。

事件 2：Derp 11/9 回填 1→11——单日次高，11 月日均创新高；10 新样本留档待核

•时间：Derp 回填 2026-11-10/11；本报 2026-11-11 采集

•来源：Derp ValleyRAT C2 Tracker（542 sandbox samples）

•要点：

•回填统计：11/9 首读 1（昨日仅 cac94a9e，KURUN CLOUD 样本已报）→ 本日回填至 11（+10，T+2 漏计第 22 次验证）；总库 532→542；11 月序列 9/8/13/6/13/16/3/9/11（至 11/9），日均 8.9（前值 8.6，本月新高）；

•10 个新样本全量留档（SHA256 前 12 + Triage 链接见 4.2 节）：因 Triage 平台全站 502，C2 与行为链核验顺延至 11-12（T+3）——按 T+2 回填规律，样本真实性以 Derp 入库为准，处置以明日核验为准；

•投放节奏解读：11/9（周二）11 个样本中 10 个为回填，连续两日（11/8=9、11/9=11）维持高位，与 11/3-11/6 的周中放量模式吻合；「工作日中段放量、周末回落」节律在 11 月第三次验证；

•排除项说明：Derp 页面新增 Forescout「Romulus」报告引用（10-15 发布）经全文核验与银狐无关（详见事件 3），不计入样本统计口径。

•影响面：10 样本 C2 待明日核验后进入处置清单；蓝队可先行按 4.2 哈希清单做终端 retro-hunt（哈希匹配不依赖 Triage）。

事件 3（监测面）：CCTGA 第 20 天、Triage 全站 502、Forescout Romulus 甄别排除

•CCTGA 第九批：第 20 天未发（官网列表口径核实，最新仍 11-02 第八批，持续超历史 4-30 天上界——第 20 天已入「随时可能发布」临界窗口，重点关注）；

•Triage 沙箱平台：全站 502（Cloudflare 网关层故障，非单报告页问题，curl/WebFetch 双通道交叉确认）——历史「间歇不可用」最严重一次；11/9 回填批次深度核验整体顺延，Derp/Triage 双源互补面本日单腿；

•Forescout「Romulus」甄别排除：Derp 页面本期新增引用 Forescout 10-15 报告「ROMULUS 多载荷 ClickFIX 投递平台」——经全文核验：作者明确声明无证据表明该面板与 Proofpoint 报道银狐所用的 RomulusLoader 相关（名称巧合），载荷为 LegionLoader/Stardock 侧载链，无 ValleyRAT/Winos 成分；作为通用 ClickFIX 基础设施参考留档，不入银狐事件流；

•Malwarebytes 假火绒二传甄别：infosectoday 11-10 转载的假火绒官网文系 Malwarebytes 2026-02-24 原报二次传播，非新披露；但其 C2 段级归属复核产出今日头号增量（事件 1），二传亦有扩证价值；

•微步共享站：CSR 盲区持续（Next.js 客户端渲染，curl 环境历史常态）；CVERC 无新预警（最新仍 10-22 Weaxor）；奇安信专题页无明细刷新。

三、技术分析

3.1 ABCCLOUD / NetForge 双供应商段对比（161.248.0.0/16）

要点解读：① 同 /16 两家独立法人托管商同时承载银狐 C2，且注册时间跨度 2024-12 至 2026-09——「机房带」而非「单一供应商」采购模式在大马节点坐实（与 HK 的 CTG/CIS 双体系同构，跨地域复制）；② ABCCLOUD 段 2026-09-10 注册即被追溯关联 2026-02 的 C2 使用，时间线异常（段再分配或滞后分析），为「段流通性」研究首个明确案例，持续观察该段后续点位。

3.2 Derp 11/9 回填批次样本留档（10 新样本，C2 待 T+3 核验）

（cac94a9e8f20…=KURUN CLOUD 首样本，11-10 期已报，不计入本期增量）

3.3 ATT&CK 映射（本期增量：事件 1 历史样本段级复核口径）

四、IOC 清单

4.1 本期新增/状态变更（RDAP 核验）

4.2 本期样本哈希（Derp 11/9 回填 10 样本，截断展示；C2 待 11-12 T+3 核验后入处置清单）

假火绒线历史哈希（2026-02 Malwarebytes 披露，截断）：72889737c11c…（NSIS 安装器）/ db8cbf938da7…（WavesSvc64.exe）/ d0ac4eb544bc…（DuiLib\_u.dll）/ 07aaaa2d3f2e…、66e324ea04c4…、47df12b0b01d…（WinosStager 插件 DLL ×3）。

4.3 段级封禁/监控清单（本期更新）

CTG 其余 15 段、CIS 9 段、USCLOUD 186.241.64.0/18、KURUN 38.60.64.0/18 等全部维持（11-09/11-10 期口径）。

五、检测与防护建议

1.出口侧：① 161.248.87.0/24（ABCCLOUD）即刻入出向审计，161.248.0.0/16 按「双供应商机房带」整段布控（NetForge .14/.15 段已有点位、ABCCLOUD .87 段为新点，段内轮换概率高）；② 443 端口「非 TLS 流量」检测规则（自定义二进制协议伪装 HTTPS）——假火绒线 161.248.87.250:443 与既有 30xxx 端口家族互补，端口维度不可靠已多次验证，协议层识别（TLS 握手失败/非标流）是更稳的检测点。

2.终端 EDR：① 「Batteries」计划任务名 + %APPDATA%\trvePath 目录 + HKCU\SOFTWARE\IpDates\_info 注册表键三件套检测规则（假火绒线持久化指纹，2026-02 披露仍具检测价值，今日二传再验证）；② WavesSvc64.exe 在非 Waves Audio 安装目录外运行告警；③ rundll32.exe 无 DLL 参数执行告警（Malwarebytes 口径高置信异常）。

3.邮件网关/终端准入：① 假冒安全软件类诱饵（火绒/360/金山历史同型）入软件安装来源管控黑名单——「用户主动搜索安全软件→搜到假官网→下载投毒」路径绕过邮件网关，需依赖 DNS 层（typosquat 域名族）+ 终端安装来源管控双保险；② 4.2 节 10 个哈希先行入终端 retro-hunt 清单（不依赖 C2 核验）。

4.情报运营：① 明日 T+3 复核 11/9 回填 10 样本 C2（Triage 恢复后批量核验）+ 11/10 首读 0 的 T+2 复核；② CCTGA 第九批第 20 天临界窗口（随时发布，第一时间采集）；③ 161.248.87.0/24 段时间线异常（注册晚于使用 7 个月）持续观察，后续点位出现即坐实段流通性；④ Triage 502 恢复情况监测（若持续 >48h，11 月增量核验链路需评估第三方替代）。

六、参考来源

脚注（历史背景）：161.248.15.92（NetForge）系 11-10 期 11/8 样本 a9c09a2b 的 C2（campaign 2026.9.30 长尾线）；「T+2 回填漏计」规律自 9 月起累计 22 次验证；假冒安全软件诱饵同型案例：9-03 期仿冒安全软件模式、Kaspersky QN Wallpaper 投毒线（8-31 期）；托管商谱系第 62 家（ABCCLOUD）入谱口径与 11-10 期 KURUN（第 61 家）一致。以上均为本报持续追踪资产。

本日报由自动化脚本生成 · 仅供企业蓝队参考