银狐情报｜CNCERT披露金钩G03团伙：仿同花顺钓鱼站控制25164台肉鸡，官方点名CTG体系

原创

老肖SOC安全分析笔记

2026年11月12日 09:47
上海

去阅读

银狐情报｜CNCERT披露金钩G03团伙：仿同花顺钓鱼站控制25164台肉鸡，官方点名CTG体系

SILVER FOX THREAT INTELLIGENCE DAILY

一、今日概览

1.头号增量：CNCERT+观成 11-10 发布「金钩（G03）」团伙深度报告——官方首次点名 CTG Server 体系。该团伙自 2025-12 起以国内高校/医疗/证券/科技企业为目标，仿冒同花顺官网（lojqka[.]com 等 5 个 typosquat 域名，以字母 l/o 替换数字 1/0），经 SEO 投毒置顶搜索结果，分发 209MB WinRAR 自解压安装包（内含带同花顺真实数字签名的白文件 + Microsoft.exe 加载器），RC4/XOR 多阶段内存加载落地银狐远控。2026-10-04 至 11-02 控制境内肉鸡 25,164 个，单日上线峰值 1,062，单日通联峰值 256.9 万次。报告明确 C2「归属地多位于境外，运营商多为 CTGServerLimited」——本报自 10 月起追踪的 CTG 段位版图（昨日 16 段）获官方点名互证。

2.G03 IOC 清单经本报 RDAP 扩证：CTG 第 17 段（1.32.246.0-251.255）、CIS 第 10 段（154.201.82.0/24）、全新主体 GNET INC 三个基础设施增量落锤。31 个 C2 IP 中 20+ 落入本报已知 CTG 段（134.122.128-204.x、118.107.44/47.x、143.92.37-43.x）；1.32.250.70 经 RDAP 落锤 CTG032-246-HK（BGP Consultancy/IRT-CTG-HK）——全库首见 CTG 新段；154.201.82.55 落锤 Cloud Innovation Support（CIS 系第 10 段）；103.101.176.18 落锤 GNET INC（103.101.176.0/24，谱系第 63 家主体）；204.194.50.202 与本报 11-06 期马来语样本 C2 204.194.49.108 同属 204.194.48.0/21（DFI-NET2 1994 老段）——官方清单与本报独立观测双源闭环。

3.T+3 批量核验完成（10+2+1 样本）：① CTG61-157 集群（202.61.157.0/24）扩至第 16 样本（9fa7930a，1.9MB，C2=202.61.157.33:21357，与 11-06 期 b2acd756 同 C2 同端口跨周复现）；② 阿里云 HK 47.76.205.190 四样本连钉（11/8-11/11 四天连续、6.9/7.6/9.4/100MB 四种体量、campaign 全为 9.30）——「同 C2 多体量模板投放」第 5 例；③ 同一内层载荷（c3d660fb，124KB UPX 税务文档诱饵）被 3 个外层包装分发、对接 2 组不同 C2（134.122.154.211+118.107.16.167 端口对 30733/31733 vs 27.124.12.236:21308）——「一构多投 + C2 按渠道分配」第 5 例、VHD/ZIP 双容器并存首例。

4.ISO/7z 双容器东南亚定向样本（b339c2e4/8c56ea5a，C2=8.210.171.208:443 阿里云 HK 新点，campaign 20261109）：Triage 行为链显示Active Setup 注册表持久化（T1547.014）银狐谱系首见、释放 9KB wmicodegen.dll（ValleyRAT stager）与 555KB ws.png（疑载荷伪装）；样本内路径 Users/gerardo.indrawijaya/Downloads/（印尼人名）——投放面东南亚定向再添实证。

5. 监测面：Derp 总库 542→545（+3），11/10 回填 0→2（T+2 第 23 次验证，昨日待办①兑现），11/11 首读 1（11-13 复核）；11 月序列 9/8/13/6/13/16/3/9/11/2，10 日累计 90、日均 9.0；Triage 沙箱从昨日全站 502 恢复（直连 curl 仍 403，Cloudflare 数据中心 IP 拦截，WebFetch 通道正常）；CCTGA 第九批第 21 天未发（持续超历史 4-30 天上界）；微步共享站 CSR 盲区持续。甄别排除：11/9 批次中 1bbfb1dc/b17208e6（多家族标注研究样本，campaign 2023.6.30，C2=yk.ggdy.com 历史域名）与 6323244f（cobalt-strike/ghostweaver/icedid 等五家族标注+127.0.0.1 占位）不入投放统计——11 月研究样本已累计 6 例，Derp 入库信噪比下降趋势值得警惕。

二、重点事件

事件 1：CNCERT「金钩（G03）」团伙报告——官方点名 CTG 体系，同花顺仿冒线全链披露

•时间：2026-11-10 发布（CNCERT 官网）；二次传播 11-11 起（安全牛/牛览/网易/secrss/天际友盟 RedQueen 等）

•来源：CNCERT 原报（信息来源 CNCERT，联合北京观成科技有限公司）

•要点：

•团伙画像：「金钩（G03）」最早可追溯 2025-12，主打搜索引擎投毒，目标为国内高校、医疗、证券及科技企业；受控终端日活上千。命名按 CCTGA 专项团伙编号体系（G03），系官方谱系化命名的新成员；

•传播链：仿同花顺官网 lojqka[.]com（2025-12-19 注册，现已失活）→ /download 仿冒下载页 →「立即下载」重定向 dowmasfz[.]cv/THS.zip → THS.exe（209MB WinRAR 自解压）→ 释放至 %TEMP%：THS\_v9.50.51\_20260114.exe（带「浙江核新同花顺网络信息股份有限公司」真实数字签名的白文件）+ Microsoft.exe（银狐加载器）——券商终端软件成为「白加黑」新宿主，同花顺签名白文件系谱系首见；

•加载链（四阶段全内存）：Microsoft.exe RC4 解密第二阶段（shellcode+PE）→ 第三阶段循环自解密出下载器（XOR 解密 C2 配置）→ TCP 直连 C2 发送单字节 y(0x79) 拉取第四阶段（shellcode 解压 aPLib 压缩的 DLL 远控模块）→ 全程无文件落地；

•持久化与反沙箱：HKCU...\Run 键名 SystemKKfile（用户级自启动，全库首见键名）；进程数 < 68 判定沙箱并加载破坏性载荷干扰分析（阈值型反沙箱，谱系内明确披露的首个数值阈值）；

•C2 通信协议指纹（高价值检测点）：上线包 = 4 字节密文长度 + 10 字节密钥派生种子（前 4 字节随机 + 后 6 字节固定常量）+ 密文；密钥派生 key[i] % key0 + key1；变种判别：请求字节 y/z 对应固定常量 000000007b00 / 000000007b01——这两个 6 字节常量可直接入 IDS 特征；

•控制规模：2026-10-04~11-02 控制境内肉鸡 25,164 个、单日上线峰值 1,062、单日通联峰值 2,569,399 次；

•钓鱼框架复用指纹：5 个钓鱼站共用自制 favicon（SHA256 53b7e792…，仿同花顺 iFinD 图标改配色）+ 特征路径 /skin/images/texiao1.png——单图标哈希即可关联拓线；

•本报 RDAP 扩证（官方清单 → 段级归属）：31 个 C2 IP 中，134.122.155.x ×7、134.122.189.x ×3、134.122.204.x ×3、134.122.129.x ×2、134.122.200.x ×1 全部落入已知 CTG122 体系（134.122.128.0/20 及其子分配）；118.107.44/47.x ×4 落入 CTG107-16 体系；143.92.37/40/43.x ×7 落入 CTG92 段；1.32.250.70 落锤 CTG032-246-HK（1.32.246.0-1.32.251.255，BGP Consultancy PTE LTD / IRT-CTG-HK）——CTG 版图第 17 段，全库首见；154.201.82.55 落锤 Cloud Innovation Support（154.201.82.0/24）——CIS 系第 10 段；103.101.176.18 落锤 GNET INC（103.101.176.0/24）——谱系第 63 家主体；43.199.114.131 落锤 AWS 亚太（43.198.0.0/15，与钓鱼站托管 CDN 同云）；52.223.22.103 / 76.223.113.170（AWS Global Accelerator 已知段，RDAP 网络故障待补验）；204.194.50.202 与本报 11-06 期马来语样本 C2 204.194.49.108 同 204.194.48.0/21（DFI-NET2）——G03 官方 C2 清单与本报独立样本观测在同段位交汇，双源闭环；

•C2 域名族新形态：16 个 C2 域名中 11 个为 sxkj999[.]vip 子域（yhao/afa/ahua/gcheng/laomo/dan/yifan/haiwen/andi/xsi/cchen.\*，疑为操作员代号式子域命名），另涉 1984233.xyz、edatonee.com、nanhuasell.com、x517l.com、khop112.cfd——单 vip 主域聚合 11 操控子域的结构便于主域级封禁。

•影响面：① 同花顺用户（个人投资者/券商从业人员）为直接目标，SEO 投毒绕过邮件网关，防线依赖 DNS 层与终端安装来源管控；② 25,164 台境内肉鸡规模表明该线为 11 月最大单一控制规模披露，CNCERT 建议全网基于 IOC 全盘扫描+出口全量封堵；③ CTG 体系获官方点名后，境外托管商打击通道（IRT-CTG-HK abuse）压力测试值得跟进。

事件 2：Derp 11/9 回填批次 T+3 全量核验完成——CTG61-157 第 16 样本、47.76.205.190 四连钉、同载荷三分发

•时间：Derp 回填 2026-11-10/11/12；本报 2026-11-12 T+3 批量核验（Triage WebFetch 通道）

•来源：Derp ValleyRAT C2 Tracker（545 sandbox samples）+ Triage 各样本报告（链接见 4.2）

•要点：

•核验统计：昨日留档 10 样本（11/9）+ 11/10 回填 2 样本 + 11/11 首读 1 样本 = 13 样本全量核验。7 个为真实投放样本，3 个为研究/多家族标注样本（排除），3 个为同一载荷多包装（合并计）——排除比例 23%（11 月累计 6 例研究样本入库）；

•CTG61-157 集群第 16 样本：9fa7930a（1.9MB EXE，文件名=自身哈希）C2=202.61.157.33:21357——与 11-06 期 b2acd756（1.3MB）同 IP 同端口跨 6 天复现，202.61.157.0/24 集群（本报 10 月起追踪）持续吸样，行为链含 UAC 绕过（T1548.002）、Run 键（T1547.001）、禁用工具（T1562.001）、外网 IP 探测；

•阿里云 HK 47.76.205.190 四样本连钉（campaign 9.30 长尾）：11/8 86b1543f（7.6MB）→ 11/9 9a5e8e3f（9.4MB）→ 11/10 c3af9d9f（100MB）→ 11/11 42d9a255（6.9MB），全部 valleyrat\_s2 v1.0、C2 同为 47.76.205.190:443/:80、campaign\_date 同 2026.9.30——同一 C2 连续 4 天接收 4 种体量投放包（含 100MB 巨型安装器），「9.30 长尾线」与「11.7 新鲜线」双代投放包共存节奏（11-10 期口径）持续；11-09 期已确认该 IP 与 8.217.47.159/8.217.236.166 构成阿里云 HK 掩体带三线证据；

•同载荷三分发两 C2（第 5 例）：内层载荷 c3d660fb…（124KB Tax\_Document\_Notification.exe，UPX） 同时出现于——f70aa12d（12MB VHD 直装，Tax\_Document\_Notification\_08177.vhd）、0290b055（3.8MB ZIP 包 VHD）二者 C2=134.122.154.211:30733/:31733 + 118.107.16.167:30733/:31733（双 IP 双端口对，11-08 期已落锤 CTG122-152-SG/CTG107-16-HK）；f8f6f025（3.9MB VHD.zip，内层执行体改名 20261109.739182.F9A5D3C7B2E6.exe）C2=27.124.12.236:21308——该 IP 落入已知 CTG124-12-HK（27.124.12.0/24，13 段清单老段）但点位首见；三分发包装（VHD 裸/ZIP+VHD/改名 EXE）对应不同 C2 接收端，投放渠道与 C2 分配存在稳定映射（第 5 例，跨容器首例）；

•VHD/ZIP 投放包结构：0290b055 解包含 ValleyRAT 主载荷 + 14 个 VC++ 运行库伪装 DLL（liblzma-5.dll/msdis170.dll/mspbst.dll/msvcp100/120/140 系/vccorlib140.dll 等，与 11-06 期日语样本「9 个 VC++ 运行库 DLL 伪装随附」同模式、数量扩至 14）——运行库伪装 DLL 群已成该投放线标配指纹。

•影响面：27.124.12.236:21308 新点位入处置清单；c3d660fb 内层哈希与 14 个伪装 DLL 哈希组可整体入 YARA/retro-hunt（同一投放模板的指纹族）；47.76.205.190 维持阿里云 HK 掩体带口径。

事件 3：ISO/7z 双容器东南亚定向样本——Active Setup 持久化（T1547.014）谱系首见

•时间：Derp 11/9 入库；本报 2026-11-12 T+3 核验

•来源：Triage 261109-lx25csbx21（b339c2e4，mal.zip→ISO）/ Triage 261109-lx64baa15n（8c56ea5a，7z）

•要点：

•双容器同 C2：b339c2e4（639KB mal.zip，内含 gs11092026dd\_6420\_2889.iso，792KB）与 8c56ea5a（629KB gs11092026dd\_6420\_2889.7z）共享 C2 8.210.171.208:443（阿里云 HK 8.210.0.0/16，点位首见），campaign 20261109——同一诱饵（文件名含印尼格式日期 gs11092026dd）双容器分发；

•东南亚定向实证：Triage 提交路径 Users/gerardo.indrawijaya/Downloads/（印尼人名）——继 11-06 期高棉语/马来语诱饵后，银狐投放面东南亚定向的第 3 类实证（ISO 文件名 + 印尼用户路径）；

•行为链三新点：① Active Setup 注册表持久化（T1547.014，Boot or Logon Autostart Execution 子技术）——本报谱系追踪以来首见（既有持久化以 Run 键 T1547.001、计划任务 T1053.005、服务 T1543.003 为主）；② 释放 wmicodegen.dll（9KB，ValleyRAT stager，Triage 判 valleyrat\_s2）——WMI 命名空间伪装 DLL 系新观测落盘名；③ ws.png（555KB）作为载荷组件落盘——PNG 扩展名载荷疑隐写/资源容器（待核实，静态 1/10 分但随主载荷分发）；

• ISO 内执行体 gs11092026dd.exe（174KB）标签密度为近期最高：adware/backdoor/discovery/persistence/ransomware/spyware 六标签 + ValleyRAT 确认——功能面广（截图/插件下发/浏览器信息发现 T1217/外设枚举 T1120）。

•影响面：8.210.171.208:443 新点位；Active Setup 键路径（HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components）应补入 EDR 持久化监控项——该机制登录时自动执行且常被企业基线忽略；wmicodegen.dll 落盘名入终端黑名单。

事件 4（监测面）：CCTGA 第 21 天、Triage 恢复、Derp 节律

•CCTGA 第九批：第 21 天未发（最新仍 11-02 第八批，湖北网信 11-03 转载口径），持续超历史 4-30 天上界——「金钩（G03）」命名表明专项工作组已进入团伙级深度分析阶段（前八批为资产级清单），G03 报告或为新一轮「团伙画像系列」首发，后续 G0x 系列报告可期（监测重点转移）；

•Triage 平台：昨日全站 502 今日恢复（WebFetch 通道正常完成 13 样本核验）；直连 curl 转 403（Cloudflare 对数据中心 IP 拦截加剧）——沙箱类平台反爬策略趋严，本报双通道采集架构（WebFetch 优先）有效性的再次验证；

•Derp 节律：11/10 回填 0→2（T+2 第 23 次验证），11 月逐日 9/8/13/6/13/16/3/9/11/2、10 日累计 90、日均 9.0；周三（11/10）单日 2 为 11 月最低——G03 报告披露的大规模投放（肉鸡日活上千）与 Derp 采集量低位形成反差，提示主要投放线（SEO 投毒线）不在 Derp/Triage 采集视野内，蓝队情报运营不可单依赖沙箱聚合源；

•微步共享站：CSR 盲区持续（历史常态），本期以 Derp/Triage/RDAP/CNCERT 四源覆盖。

三、技术分析

3.1 G03 攻击链 ATT&CK 映射（CNCERT 口径 + 本报整理）

3.2 本期样本核验汇总（13 样本全量）

3.3 CTG / CIS 版图更新（G03 官方清单 + RDAP 扩证）

四、IOC 清单

4.1 G03 团伙（CNCERT 11-10 披露，本报 RDAP 扩证；哈希截断展示）

4.2 本期样本哈希（截断展示；完整链接见 Triage）

4.3 段级封禁/监控清单（本期更新）

五、检测与防护建议

1.出口/DNS 侧：① sxkj999[.]vip 主域级封禁（11 个操控子域一并覆盖）+ G03 钓鱼域名族（lojqka/10jqkaapp/10jqkapc/l0jqka.com/.ai）DNS 拦截；② 1.32.246.0-251.255 与 154.201.82.0/24 两个新段入出口审计，CTG 17 段全量升级阻断级（获 CNCERT 点名，打击豁免理由已不存在）；③ IDS 部署 G03 协议指纹规则：TCP 非标端口流量中 6 字节常量 000000007b00/000000007b01 命中即告警（密钥派生前 4 字节随机、后 6 字节固定，特征稳定）。

2.终端 EDR：① Run 键名 SystemKKfile + %TEMP%\Microsoft.exe 组合检测（G03 持久化指纹）；② Active Setup 注册表路径（HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components）新增/变更监控——本期 T1547.014 首见，常规基线易漏；③ wmicodegen.dll 落盘名黑名单；④ 14 个 VC++ 运行库伪装 DLL 组哈希 retro-hunt（同一投放模板指纹族）；⑤ 沙箱环境进程数基线提升至 ≥68（G03 阈值型反沙箱，68 以下将被投喂破坏性载荷）。

3.邮件网关/准入：① 同花顺等券商终端软件安装来源管控（官方渠道白名单）——G03 经 SEO 投毒绕过邮件防线，DNS+终端双保险为必选项；② 搜索引擎使用规范提醒：标注「广告/推广」的软件下载结果一律不入（CNCERT 建议原文口径）；③ VHD/ISO/7z 附件容器策略复核——本期三分发与东南亚定向线均用容器投递。

4.情报运营：① CNCERT 已转入团伙级深度分析（G03 命名体系），关注 G0x 系列后续报告与 CCTGA 第九批（第 21 天临界）；② 47.76.205.190 阿里云 HK 掩体带滥用举报（云厂商通道）；③ 明日 T+2 复核 11/11=1、11/12 首读；④ 52.223.22.103/76.223.113.170 RDAP 补验（今日网络故障待核实）；⑤ G03 报告 25,164 肉鸡规模与 Derp 低位采集的反差——评估补充 SEO 投毒线的独立监测源（域名级监控优先）。

六、参考来源

本报由 WorkBuddy 自动化流水线生成（automation-1784941326019）。数据源：CNCERT/CCTGA 官方通报、Derp ValleyRAT Tracker、Triage 沙箱、APNIC/ARIN RDAP、公开威胁情报源。哈希均截断展示，不含样本下载链接。研究样本（多家族标注/占位 C2）已甄别排除并注明。52.223.22.103/76.223.113.170 段级归属待 RDAP 补验。

本日报由自动化脚本生成 · 仅供企业蓝队参考