近期，中国互联网网络安全威胁治理联盟（以下简称CCTGA）启动了“银狐”木马专项打击行动，重点围绕控制端打击、被控端处置、恶意样本传播链治理、成效评估和机制完善等重点任务统筹推进，保护人民群众合法权益。

        本周，CCTGA研判确认了“银狐”木马使用的一批恶意网络资产，现予以披露。本次重点披露近期控制规模较大的TOP 10恶意网络资产，归属地主要分布于中国香港地区。

        一、黑客团伙概述

        “银狐”黑产团伙团伙又称“游蛇”“谷堕大盗”，长期通过仿冒软件下载站、搜索引擎恶意推广、钓鱼邮件及即时通信等渠道传播恶意程序，如Gh0st、Win0s、DcRat等一系列具备远程控制能力的木马程序，利用木马程序携带功能的如文件下发、进程管理、命令执行、屏幕监控、键盘记录以及敏感信息窃取等实施违法犯罪活动，对网络安全和人民群众合法权益造成较大危害。

        恶意网络资产信息如下：

        （一）恶意IP地址：177.4.3.99

        关联域名：11x.mlcrosoft.vip、c72.mlcrosoft.my、local82.mlcrosoft.my、54.mlcro.net、local7.mlcrosoft.my、local72.mlcrosoft.my、local8.mlcrosoft.my、localx.mlcrosoft.my、28.mlcro.net、10.mlcrosoft.vip

        关联端口：443

        归属地：中国 中国香港

        日控制规模：6549

        （二）恶意IP地址：177.4.3.35

        关联域名：18.mlcro.net、23.mlcro.net

        关联端口：443

        归属地：中国 中国香港

        日控制规模：6161

        （三）恶意IP地址：177.4.3.101

        关联域名：21.mlcro.net、19.mlcro.net、20.mlcro.net

        关联端口：443

        归属地：中国 中国香港

        日控制规模：4153

        （四）恶意IP地址：177.4.3.97

        关联域名：21.mlcro.net、22.mlcro.net、28.mlcro.net、54.mlcro.net

        关联端口：443

        归属地：中国 中国香港

        日控制规模：3607

        （五）恶意IP地址：177.4.3.62

        关联域名：otaku.mlcrosoft.vip、biobreak.mlcrosoft.vip、biografias.mlcrosoft.vip、biografias.mlcrosoft.vip、biologitopibiru.mlcrosoft.vip、bionic925.mlcrosoft.vip、bioquimicamarzo-julio.mlcrosoft.vip、birchhill.mlcrosoft.vip、biresim.mlcrosoft.vip、birohumas.mlcrosoft.vip

       关联端口：443

        归属地：中国 中国香港

        日控制规模：3538

        （六）恶意IP地址：177.4.3.105

        关联域名：bisnispulsaelektrik.mlcrosoft.vip、888zhenrenhuipianren.mlcrosoft.vip、0.mlcrosoft.vip、www.0.mlcrosoft.vip、000kkk.mlcrosoft.vip、007a.mlcrosoft.vip

        关联端口：443

        归属地：中国 中国香港

        日控制规模：3524

        （七）恶意IP地址：47.242.177.24

        关联域名：ab.0orrw5re.com、sl.fo8kdhrj.com、gtq.kmnx23dgf3.com、xat.tk9885.com、zu.cmsiss.icu、dan.92ewi29wmjyrjlpg.com

        关联端口：45

        归属地：中国 中国香港（CDN）

        日控制规模：2051

        （八）恶意IP地址：148.66.11.18

        关联域名：rsoxq1lsqdf3fcmdug6exhguj43q9999.telawsuk5redsianxq1omiq9.claudfront.net

        关联端口：5178

        归属地：中国 中国香港

        日控制规模：1001

        （九）恶意IP地址：47.242.106.7

        关联域名：aceqqj.net、cavuax.net、dyfmkr.net、gnkygm.net、ikhhya.net

        关联端口：7089

        归属地：中国 中国香港（CDN）

        日控制规模：891

        （十）恶意IP地址：137.220.136.168

        关联域名：gadad.bvndjx.cn

        关联端口：5178

        归属地：中国 中国香港

        日控制规模：832

        二、排查方法

        （一）详细查看分析近期浏览器历史记录、DNS请求及网络流量，重点排查是否存在访问银狐相关钓鱼网站、恶意域名及IP地址的记录。如发现相关访问行为，可进一步提取源IP、终端信息及访问时间等信息进行分析。

        （二）重点检查终端近期下载文件及可疑程序，关注是否存在从钓鱼网站下载并执行恶意木马的情况，同时排查异常进程、启动项及网络连接等信息，判断终端是否存在木马感染。

        （三）对发现的可疑终端进行重点勘验取证，并结合恶意文件哈希、网络通信地址等 IOC，在单位内部开展关联排查，确认是否存在其他受影响终端。

        三、处置建议

        （一）及时在威胁情报平台、网络出口及终端安全防护设备中更新相关 IOC，对恶意域名、IP及木马文件进行检测和拦截。

        （二）对确认感染木马的终端及时进行网络隔离，清理恶意文件及相关持久化机制，并全面排查是否存在其他异常程序及网络通信行为。

        （三）加强对钓鱼网站及恶意软件下载行为的安全防范，避免通过非官方渠道下载软件或打开来源不明的链接、文件，降低终端感染风险。

        （四）向“银狐”木马专项打击行动线索征集邮箱silverfox@cert.org.cn报告相关线索及样本信息。

关键字：