近期，中国互联网网络安全威胁治理联盟（以下简称CCTGA）启动了“银狐”木马专项打击行动，重点围绕控制端打击、被控端处置、恶意样本传播链治理、成效评估和机制完善等重点任务统筹推进，保护人民群众合法权益。

本周，CCTGA研判确认了“银狐”木马使用的一批恶意网络资产，现予以披露。本次重点披露近期控制规模较大的TOP 10恶意网络资产，归属地主要分布于中国香港、中国台湾、韩国等国家和地区。

一、黑客团伙概述

“银狐”黑产团伙团伙又称“游蛇”“谷堕大盗”，长期通过仿冒软件下载站、搜索引擎恶意推广、钓鱼邮件及即时通信等渠道传播恶意程序，如Gh0st、Win0s、DcRat等一系列具备远程控制能力的木马程序，利用木马程序携带功能的如文件下发、进程管理、命令执行、屏幕监控、键盘记录以及敏感信息窃取等实施违法犯罪活动，对网络安全和人民群众合法权益造成较大危害。

恶意网络资产信息如下：

（一）恶意IP地址：116.213.43.19

关联域名：

cj2.yyy16888.vip

cj3.yyy16888.vip

关联端口：80

归属地：中国 香港

日控制规模：3240

（二）恶意IP地址：185.203.39.50

关联域名：

ee.bsjdwn.com

aa.kmsccdn.com

关联端口：22

归属地：中国 台湾

日控制规模：1884

（三）恶意IP地址：161.248.14.29

关联域名：wozjjide2.com

关联端口：80

归属地：中国 香港

日控制规模：1515

（四）恶意IP地址：161.248.14.111

关联域名：www.wozjjide2.com

关联端口：80

归属地：中国 香港

日控制规模：1446

（五）恶意IP地址：192.51.188.94

关联域名：pc-hnnpr-whatsapp.com.cn

关联端口：80

归属地：韩国

日控制规模：1301

（六）恶意IP地址：47.243.168.10

关联域名：kyo.itbasee.top

关联端口：7788

归属地：中国 香港

日控制规模：1296

（七）恶意IP地址：118.107.43.242

关联域名：lwuoys.net

关联端口：20032

归属地：中国 香港

日控制规模：1088

（八）恶意IP地址：68.64.181.146

关联域名：www.jji1.com

关联端口：443

归属地：中国 香港

日控制规模：960

（九）恶意IP地址：156.247.41.126

关联域名：

xiaoshihou10.org

xiaoshihou11.org

关联端口：56311

归属地：中国 香港

日控制规模：686

（十）恶意IP地址：202.146.222.196

关联域名：555.xasf03.com

关联端口：80

归属地：中国 香港

日控制规模：680

二、排查方法

（一）详细查看分析近期浏览器历史记录、DNS请求及网络流量，重点排查是否存在访问银狐相关钓鱼网站、恶意域名及IP地址的记录。如发现相关访问行为，可进一步提取源IP、终端信息及访问时间等信息进行分析。

（二）重点检查终端近期下载文件及可疑程序，关注是否存在从钓鱼网站下载并执行恶意木马的情况，同时排查异常进程、启动项及网络连接等信息，判断终端是否存在木马感染。

（三）对发现的可疑终端进行重点勘验取证，并结合恶意文件哈希、网络通信地址等 IOC，在单位内部开展关联排查，确认是否存在其他受影响终端。

三、处置建议

（一）及时在威胁情报平台、网络出口及终端安全防护设备中更新相关 IOC，对恶意域名、IP及木马文件进行检测和拦截。

（二）对确认感染木马的终端及时进行网络隔离，清理恶意文件及相关持久化机制，并全面排查是否存在其他异常程序及网络通信行为。

（三）加强对钓鱼网站及恶意软件下载行为的安全防范，避免通过非官方渠道下载软件或打开来源不明的链接、文件，降低终端感染风险。

（四）向"银狐"木马专项打击行动线索征集邮箱silverfox@cert.org.cn报告相关线索及样本信息。

跳转微信打开

本周，互联网网络安全态势整体评价为良。

本周，互联网网络安全态势整体评价为良。我国互联网基础设施运行整体平稳，全国范围或省级行政区域内未发生造成重大影响的基础设施运行安全事件。针对政府、企业以及广大互联网用户的主要安全威胁来自于软件高危漏洞、恶意代码传播以及网站攻击。

本周，CNCERT协调云服务商、域名注册服务机构、应用商店、各省分中心以及国际合作组织共处理网络安全事件328起，含跨境网络安全事件59起。其中，协调境内外域名注册机构、境外CERT等机构重点处理264起仿冒投诉事件。

●网络安全信息与动态周报2026年第39期（9月21日-9月27日）

●网络安全信息与动态周报2026年第38期（9月14日-9月20日）

●网络安全信息与动态周报2026年第37期（9月7日-9月13日）

●网络安全信息与动态周报2026年第36期（8月31日-9月6日）

●网络安全信息与动态周报2026年第35期（8月24日-8月30日）

跳转微信打开

近期，国家互联网应急中心（CNCERT）监测发现，“荐片播放器”Windows端应用程序内置后门功能，可在用户不知情的情况下采集终端信息、下载运行其他程序，并接收服务端指令执行任意代码，存在终端被远程控制、个人信息泄露等安全风险。目前，境内已监测到超70万台设备感染。为帮助广大用户和有关单位识别风险、开展排查，现将该软件的主要恶意行为、感染情况及防范建议提示如下。

一、概述

本次分析对象为“荐片影视”所谓官方地址（www.jianpian.com，非国内合法备案网站）提供下载的“荐片播放器”Windows端应用程序。经分析，该程序在提供影视播放功能的同时，通过注册表自启动项和系统服务保持后台运行，具备静默安装第三方软件、采集终端指纹与行为数据、篡改剪贴板内容等功能。其内置的两条独立通信通道可定期接收并执行服务端下发的脚本，结合进程注入、内核驱动加载和内存执行能力，使服务端能够持续向终端投递和运行其他程序。

对不同版本的比对发现，该软件虽调整了通信域名、接口和加密方式，但脚本下发执行、终端信息采集、进程注入等主要恶意行为仍然存在。2026年9月15日至22日，CNCERT累计监测到境内700,260台设备感染，日上线受控终端数量最高达251,880台。

二、恶意样本分析

经对程序及其组件开展逆向分析，发现其通过启动器、核心业务库、脚本执行模块和更新服务协同实现配置获取、信息采集、载荷下载执行及持续驻留等功能。各模块的位数与主要作用见表1，具体恶意行为分析如下。

表 1 恶意软件部分模块清单与角色

（一）隐藏驻留与持久化

安装时核心业务库jianpianer.dll将自身写入注册表自启动项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\JIANPIAN，键值附加--windowstate=hide source=autorun参数，用户登录后隐藏窗口自启、无任何界面；同时管理StartupApproved\Run项，使任务管理器中的“禁用”操作失效。Jp_Update.exe被安装为开机自启动的系统服务Jp_Update；服务启动后获取当前登录用户令牌，以该用户身份在用户桌面重新启动自身，获得桌面全部操作能力。

（二）无感知强制安装第三方软件

核心业务库jianpianer.dll定时请求配置接口https://pconfig.<域名>/svr_optns/config.php（主用jianpiancloud.com，备用jphwapi.com），解析返回的21个控制字段；按配置中地址将第三方安装程序下载至%TEMP%临时文件夹（随机文件名），再以管理员权限（runas）、完全隐藏窗口（nShow=0）运行，结束后自动退出，全程无感知。下载何种软件、从何地址下载均由服务器决定。关键代码见图1。

图 1 以管理员权限、隐藏窗口运行下载的安装程序

（三）批量采集终端指纹与行为数据

核心业务库jianpianer.dll读取C盘卷序列号与第一块物理以太网卡MAC地址（跳过名称含“virtual”的虚拟网卡），以“-”拼接生成设备唯一指纹，持久化写入注册表HKEY_LOCAL_MACHINE\SOFTWARE\JianPianPlayer\PCCode，并随pconfig服务器统计接口（/svr_optns/logstat/stat）上报，服务器可据此逐台识别终端。同时会在本地存储目录wkeStorage中留存渠道归因数据，记录推广活动编号、安装渠道、来源域名与安装时间，完成用户来源链路记录。

（四）双通道脚本下发与任意代码执行

jianpianhelp.dll每30分钟向http://jptongji.jianpiancloud.com:8002/ssl.asp?ver=1.2.3.30发送POST请求（通道一）；Jp_Update服务每20分钟向http://jptongji.<域名>:8002/ssl.asp?ver=4.0.1发送POST请求（通道二，默认域名jianpiantongji.x-app.one）。服务器返回的内容开头两个字符为“00”时，即被内置脚本引擎（MSScriptControl，JavaScript）作为代码直接执行，服务器由此可随时向在线终端下发任意代码。“00”开关判断见图2。

图 2 返回内容以“00”开头即交由脚本引擎执行

Jp_Update侧的脚本引擎注册了callapi、HashCls等内置功能（见表2），赋予服务端下发脚本超出普通网页脚本的系统操作权限，可实现部分高风险行为：调用任意DLL函数、创建任意COM对象、下载并运行任意文件文件、向指定内存地址写入数据等。

表 2 脚本可调用的部分内置功能

下发内容按文件头分流执行：标准PE文件在内存中映射执行，自定义“CODE”头的数据块复制到可读可写可执行内存后直接调用——任意程序均可在不落盘的情况下运行。该模块还内嵌BlackBone注入框架，可向32/64位进程注入代码并加载BlackBoneDrv7-10.sys内核驱动（驱动文件运行时从服务器下载）。关键代码见图3。

图 3 任意PE文件不落盘内存执行

（五）流量劫持与导流

核心业务库jianpianer.dll后台监听剪贴板，将用户复制的以HTTP://或FTP://开头的链接静默替换为服务器下发的推广链接，替换结果m3u8视频源时自动拉起播放。FileSuite.exe以管理员权限将36种媒体格式的默认打开方式批量改写为自家播放器，包括覆盖用户已选定的UserChoice项。广告弹窗地址、内容与弹出节奏由config.php配置字段控制，广告页经内嵌浏览器开放的本机接口可获得写文件、创建组件、触发下载、读取本机指纹等执行能力。

（六）通信隐藏与自恢复

Jp_Update.exe每轮回连时将回传域名动态解析为IP并在请求中以IP直连，服务器可经注册表HKEY_CURRENT_USER\SOFTWARE\JIANPIAN下的main_domain（通道二对应“main domain”）值远程更换回传域名；jianpianer.dll解析其配置、广告、统计类域名时，核心库对配置与广告类域名经DoH加密解析；jianpianhelp.dll内置修复逻辑，模块文件被删除后，可经http://web.<域名>:8000/mini/repair.asp从服务器重新下载安装。

（七）恶意程序更新变化

经对比分析，“荐片影视”所谓官方网站（www.jianpian.com）当前下载的最新版本“荐片播放器”Windows应用程序已升级，相关改动为：回传地址均加密为HTTPS，脚本下发通道由http://jptongji.<域名>:8002/ssl.asp变更为https://jptongji.<域名>/ssl.php；控制服务由jianpiancloud.com、x-app.one等域名整体迁移至jpcloud.org域名族；网络通信改用自带libcurl库并新增加密流量隧道。隐藏自启、静默安装、指纹采集、剪贴板劫持、脚本下发执行与进程注入等主要恶意行为保持不变。

三、感染规模

通过监测分析，发现境内于2026年9月15日至9月22日期间，该恶意软件感染的日上线受控终端数量最高达251,880‌台，累计监测到700,260台设备被感染，境内每日感染终端数量情况如下。

图 4 境内日上线受控终端数量

四、防范建议

（一）规范软件获取渠道，防范捆绑安装

不从非正规渠道下载安装捆绑推广的影视播放器类软件；下载软件时核对数字签名主体，警惕以个人证书签名的安装程序；留意安装过程中默认勾选的捆绑选项。

（二）全面排查感染终端，及时清除恶意程序

按IOC排查注册表Run键JIANPIAN、SOFTWARE\JIANPIAN键、服务Jp_Update与BlackBone、安装目录及%APPDATA%\jianpianhelp\下的可疑模块、%TEMP%目录中的随机名可执行文件。确认感染终端应视为受控主机，隔离排查后建议重装系统。

（三）封堵恶意域名与IP，阻断回传通信

在边界安全设备上封禁相关IOC；重点监测对jptongji.jianpiancloud.com:8002/ssl.asp等8002端口、ssl.asp地址的周期性POST请求（30/20分钟两个周期）。

（四）强化终端防护与权限管控

开启终端防护软件实时防护并保持病毒库更新；遵循最小权限原则，不使用管理员账户日常办公，限制未知程序以管理员权限运行；及时安装系统与常用软件安全补丁。

（五）加强日常安全监测与审计

定期巡检终端自启动项、系统服务、进程与网络连接，关注剪贴板内容被替换、文件关联被篡改等异常现象；留存终端与边界网络日志，为影响范围认定和溯源处置提供依据。

五、相关IoC

（一）样本SHA256

2C976B8D99E5BBBB2D1E073D10FF311D3190A8E1D1A772A7E60ABB2C3D25AB69

11BF146FA88FC20835B44371915C581202431799094DDC59F35D0D5BAC94ACCE

D51889A1B794FD5E00111745B63D731999E42ED9B8F530C69CDC371FD3EAFE2D

DDF4EF9AD9F93D4F345F9B923B5DC91712D77FFC68592510CA7BFCF88E24996D

2E0EF1472F8DC0431D8A4619E49EE240A1A02BBD28455668D5710CA427E8EEB9

7222D26BEE974BE94033CC29C2025881F84B3F9B23F99B45848E61FD2A77EDCA

953D6871D3033BF21A5829B4B0F6A9E0F5F1978159E39DB25931C7873CD658BF

672A497B219AC5979C159CE0FDA33B4147ADDD0FE8EE3ED2F17080E6828C3E58

21DD44ABBADF3CFE5327410C034758DFEDB9EF387A2826714B94AC5954E5DCB9

（二）IP

45.117.8[.]37

45.120.103[.]111

34.150.19[.]222

（三）DOMAIN

jptongji.jianpiancloud[.]com

jianpiantongji.x-app[.]one

pconfig.jianpiancloud[.]com

media.jianpiancloud[.]com

web.jianpiancloud[.]com

jphwapi[.]com

pchwjiasu.abkc4[.]com

pchwjiasu.arykoyq[.]com

jptongji.jpcloud[.]org

pconfig.jpcloud[.]org

media.jpcloud[.]org

web.jpcloud[.]org

www.jpcloud[.]org

（四）URL

http[:]//jptongji.jianpiancloud.com:8002/ssl.asp?ver=1.2.3.30

http[:]//jptongji.jianpiantongji.x-app.one:8002/ssl.asp?ver=4.0.1

https[:]//jptongji.jpcloud.org/ssl.php?src=svc&ver=5.0.0.1

https[:]//jptongji.jpcloud.org/ssl.php?src=dll&ver=5.0.0.1

https[:]//jptongji.jpcloud.org/api/v1/client-event

https[:]//pconfig.jianpiancloud.com:8000/svr_optns/config.php

https[:]//pconfig.jpcloud.org/svr_optns/config.php

http[:]//pconfig.jianpiancloud.com:8000/svr_optns/logstat/stat

http[:]//media.jianpiancloud.com:8000/index.php?s=Home-Api-jscode-key-m3u8

http[:]//web.jianpiancloud.com:8000/mini/repair.asp?state=repair

https[:]//web.jpcloud.org/mini/repair.php?state=repair

https[:]//pconfig.jpcloud.org/download/jianpian_setup.exe

六、致谢

感谢启明星辰VenusEye威胁情报中心和中孚安全元亨实验室在本报告的样本分析工作中做出的重要贡献。

跳转微信打开

本周，互联网网络安全态势整体评价为良。

本周，互联网网络安全态势整体评价为良。我国互联网基础设施运行整体平稳，全国范围或省级行政区域内未发生造成重大影响的基础设施运行安全事件。针对政府、企业以及广大互联网用户的主要安全威胁来自于软件高危漏洞、恶意代码传播以及网站攻击。

本周，CNCERT协调云服务商、域名注册服务机构、应用商店、各省分中心以及国际合作组织共处理网络安全事件462起，含跨境网络安全事件133起。其中，协调境内外域名注册机构、境外CERT等机构重点处理360起仿冒投诉事件。

●网络安全信息与动态周报2026年第38期（9月14日-9月20日）

●网络安全信息与动态周报2026年第37期（9月7日-9月13日）

●网络安全信息与动态周报2026年第36期（8月31日-9月6日）

●网络安全信息与动态周报2026年第35期（8月24日-8月30日）

●网络安全信息与动态周报2026年第34期（8月17日-8月23日）

跳转微信打开

本报告由CNCERT与天融信科技集团股份有限公司共同发布。

一、概述

在“银狐”木马专项工作中，CNCERT联合天融信科技集团股份有限公司共同监测发现，“甲蚁（G01）”团伙近期通过搜索引擎SEO投毒与关键词竞价引流，利用AI批量复刻高仿真软件下载站传播银狐木马。经专项工作组对该团伙攻击资源与传播控制方式开展关联分析发现：其抢先实名注册“.com.cn\.cn”后缀域名并按统一模板批量命名，仿冒“SafeW”“FinalShell”“NexusDesk”等常用工具软件的官方下载入口，恶意载荷统一托管于云对象存储服务；用户被诱导下载并运行恶意MSI安装包与多阶段下载加载器后，样本在显示正常软件安装界面的同时，于后台以“白加黑”侧加载方式分阶段加载后续程序，写入Windows Defender排除项、实施进程注入、注册计划任务，并篡改hosts阻断安全软件站点访问，随后连接境外C2服务器，建立远程控制通道。

专项工作组已核验仿冒域名1060个，单日注册峰值110个，活跃C2地址2个。2026年9月15日至22日，CNCERT监测发现该团伙共控制境内肉鸡达8708个。其中，单日上线数量峰值2361个。此次攻击活动威胁使用开发运维类工具的个人及企业用户,此类用户因工作需要，普遍持有高价值主机权限，其终端一旦被控，攻击者可利用这些权限进一步横向移动，扩大影响范围。

图 1 “甲蚁（G01）”团伙攻击活动总体链路

二、恶意样本分析

该团伙使用单一控制邮箱批量注册数百个域名，借用他人实名信息完成“.com.cn”域名注册，再利用AI批量复刻多个品牌官网。各仿冒站点通过统一后台提供恶意载荷，同名压缩包按次打包，哈希值各不相同。站群托管于价格低廉、溯源困难的境外服务，第三方流量统计平台（51.LA）则用于核算投入产出比、调整仿冒主题。其仿冒对象已从大众软件转向开发运维类工具，此类目标用户持有的主机权限具有更高价值。

（一）团伙概况

表 1 “甲蚁（G01）”团伙概况

（二）传播资源与基础设施特征

表 2 传播资源与基础设施特征

域名注册信息显示，注册人姓名和身份证号对应真实公民，控制邮箱则为境外免费邮箱。反查发现，同一控制邮箱关联多个注册人姓名，并轮换使用。这表明攻击者批量借用他人身份注册域名，注册信息中暴露的是无关公民的身份。

图 2 域名whois身份信息与控制邮箱错位

图 3 单邮箱多姓名轮换

图 4 多个仿冒域名解析至香港Cogent

三、典型攻击活动分析

（一）传播入口

用户在搜索引擎检索“FinalShell下载”等关键词后，会被引导至“ssh-finalshell.com[.]cn”等仿冒站点。该站点冒充FinalShell官方正版下载入口，提供携带银狐木马的恶意压缩包。该团伙还批量注册并运营“apps-finalshell.com[.]cn”“www.ch-finalshell.com[.]cn”“web-finalshell.com[.]cn”等域名，均沿用“前缀-finalshell.com.cn”的命名模板。

图 5 由AI批量复刻生成的高仿真FinalShell仿冒下载页面

本次活动主要仿冒开发运维类工具，早期活动则集中仿冒Chrome、WPS、Telegram等大众软件。FinalShell是常用的远程连接（SSH/SFTP）客户端，用户中有大量持有高价值主机权限的运维与开发人员。此类用户的主机一旦被控，攻击者可利用其权限进一步横向移动。

仿冒页面采用高度标准化的前端结构、规整的HTML注释和通用前端技术栈，与官方网站的文字并非逐句对应。同一仿冒主题下，不同时间注册站点的页面布局和内容也趋于一致。综合这些特征，研判认为，此类页面由AI爬取原官网后批量复刻生成，可同时用于仿冒多个品牌。

该团伙还大量选用需强实名的“.com.cn”后缀，通过前期泄露数据中的“姓名、身份证号”组合完成注册，借用他人身份规避溯源。

（二）跳转与下载链

传播链路为“搜索结果->仿冒域名入口->云对象存储->恶意样本”。恶意资源多托管于阿里云OSS等云对象存储服务，下载过程中设置多层跳转，以迷惑用户并降低早期被检测拦截的概率。

图 6 “FinalShell”传播链完整跳转及下载链

表 3 传播链各环节

对同一入口多次下载的样本进行校验发现，文件名相同，哈希值却不同，表明服务端按次打包并持续更新恶意程序，以规避哈希特征检测。FinalShell传播链中的instell_s2.0.0x.zip存在这一现象，例如，FinalShell与NexusDesk仿冒站点提供的压缩包名称也完全一致。

表 4 同一下载入口多次下载所得样本的哈希

（三）样本落地与执行

钓鱼站点提供的压缩包仅包含一个伪装成安装程序的Windows 64位可执行文件，大小为35,473,200字节。不同入口提供的同名文件哈希值不同，表明服务端按次打包并持续更新载荷，以规避哈希特征检测。样本携带的第三方签名与文件实际摘要不符，属于伪造签名。入口程序在公共用户目录释放组件、注册计划任务后退出，后续组件由计划任务逐级启动。各阶段的存放位置、命名方式和触发机制相互独立，部分组件利用带有效签名的第三方程序侧加载恶意模块，形成“白加黑”结构，并通过随机命名和伪装扩展名规避文件名与类型检测。

图 7 受害者与样本关系

（四）远程控制与恶意功能

样本本体负责从远端下载载荷，自身不直接实施窃密，而是通过释放中间态EXE文件，再由中间态EXE释放最终载荷的分阶段投放方式实施攻击。

各阶段组件的存放位置、命名方式和触发机制相互独立，清除单个环节后，其余载荷仍可运行。执行链共设置6个计划任务，采用登录触发和周期触发，部分任务冒用系统更新名称并设为隐藏，使原始样本退出后仍可定时启动后续载荷。样本还以较高系统权限改写安全组件排除配置，将安全厂商域名指向回环地址。远控组件与境外C2地址保持TCP双向通信；配置和资源托管于云对象存储，可随检测情况替换，控制通道则通过非标端口直连并长期保持稳定。这种分开部署方式便于批量运营，也增加了封堵和溯源难度。

四、典型恶意样本分析

表 5 样本基本信息

（一）初始载荷与解密加载

样本伪装成安装程序，实际为Windows 64位多阶段下载加载器。加载过程分为两层，依次获取配置、解码资源并加载后续程序。配置地址为“https://02bbe6.oss-cn-beijing.aliyuncs[.]com/tad”，程序还内置同站点下的 /s.dat 与 /s.jpg 资源地址。

原始程序首先在“C:\Users\Public\SXRh6d”目录释放bcCfOw.exe、UxEnhance64.dll及配套数据文件，并注册计划任务“fX8Ia”。原始进程退出后，任务计划服务启动bcCfOw.exe，由其加载同目录的UxEnhance64.dll，继续释放并启动VBV4HZ.exe。随后，VBV4HZ.exe加载同目录的XPSPLOG.dll连接远端服务器，同时释放XsOewfN.exe、Pl6VgrWG.exe与O02PwqGh.exe；O02PwqGh.exe再释放DnsrvKyi.exe。部分程序和目录采用随机命名：aLpkwp.exe与bcCfOw.exe内容完全相同，baKv9z.exe、PnA1azgv.exe分别与VBV4HZ.exe、XsOewfN.exe内容一致。

图 8 样本多阶段执行关系图

表 6 样本释放文件及位置

（二）持久化与规避检测

样本共注册六个计划任务，分别通过用户登录和周期执行启动载荷。其中两个任务冒用MicrosoftEdgeUpdateTaskUA名称，伪装成浏览器更新任务并设为隐藏，每隔1分钟执行一次，且无限期重复。原始样本退出后，这些任务仍会定时启动各阶段载荷。

表 7 样本注册的计划任务

样本通过PowerShell批量添加Windows Defender排除路径，将系统目录、用户目录和程序目录等位置排除在检测范围之外。运行期间，后续程序又以SYSTEM权限修改注册表键“HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths”，写入C:\Users\Public\SXRh6d、C:\ProgramData、C:\Users、C:\Program Files (x86)及用户文档目录等路径。

VBV4HZ.exe还会修改系统hosts文件，将weishi.360[.]cn、www.360[.]cn、sd.360[.]cn三个域名指向回环地址127.0.0.1，阻断用户访问相关安全软件站点。

图 9 注册表中被写入的Windows Defender排除路径

图 10 hosts文件中安全软件网站域名被指向回环地址

（三）窃密与远控功能

样本自身负责多阶段下载加载和持久化，不直接实施窃密，远程控制由后续载荷完成。VBV4HZ.exe侧加载XPSPLOG.dll后，与远端服务器建立连接并双向交换数据，具备接受远程指令的条件。各阶段功能相互独立，清除单个环节后，其余载荷仍可运行。

（四）通信协议与配置特征

样本分别访问OSS资源和远端服务器。bcCfOw.exe、VBV4HZ.exe与O02PwqGh.exe解析相关域名后连接对应地址，其中VBV4HZ.exe与47.243.152[.]51:18300双向交换数据。配置和资源统一托管于阿里云OSS，专用C2通过自定义大端口直连，二者独立部署，配置与资源可单独替换。

表 8 样本程序内置地址与实际通信目标

图 11 后续程序与47.243.152[.]51:18300的连接及双向通信

五、团伙关联与同源性分析

此次攻击行动在仿冒品牌、注册人身份和控制邮箱上存在差异，但域名命名、建站方式、引流分发和托管选择具有一致性。

专项工作组综合“钓鱼模板与下载链”和“注册要素”两类独立强证据，以及上述特征在两个时间上不相邻的批次中稳定复现等特点，研判确认属于同一团伙的攻击行为。对本次团伙利用的域名进行统计，其中83.5%以字母a开头，并大量采用an-、app-、ah-等前缀与仿冒品牌关键词组合，形成较为稳定的域名命名特征，专项工作组将该团伙命名为“甲蚁（G01）”。

表 9 团伙关联证据与专属性评估

图 12 钓鱼页面比对（左：历史风险提示所述页面；右：本次捕获页面）

图 13 “甲蚁（G01）”团伙：“域名—IP—样本—证书”点边关系图谱

六、活动与控制规模

2026年9月15日至22日，CNCERT监测发现该团伙共控制境内肉鸡达8708个。其中，单日上线数量峰值2361个。相关变化情况如下图所示。

图 14 每日上线肉鸡数

七、防范建议

针对“甲蚁（G01）”团伙的传播方式和样本行为，建议个人用户及有关单位采取以下防范措施： 

（1）通过软件官方渠道或可信应用商店下载软件。该团伙利用SEO投毒与关键词竞价，使仿冒站点出现在搜索结果前列。使用搜索引擎时，应核实下载来源，尤其注意标注“广告”“推广”的结果。

（2）不要将“.com.cn\.cn”后缀等同于官方站点。该团伙大量抢注强实名“.com.cn\.cn”域名以制造可信假象，并伴有字母重复、缺字、错拼等特征，下载前应逐字核对域名。

（3）重点保护运维与开发人员终端。该团伙已转向仿冒FinalShell、Xshell、SecureCRT、NexusDesk等远程连接和运维工具。此类终端普遍持有高价值主机凭据，被控后极易成为横向移动的跳板。建议企业统一分发此类软件，并禁止员工自行下载。

（4）对Windows Defender排除项变更建立告警。监测注册表键“HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths”的修改，以及PowerShell调用Add-MpPreference的行为，重点检查将C:\Users、C:\ProgramData、C:\Windows\System32等大范围目录加入排除项的操作。

（5）排查冒用系统更新名称的隐藏计划任务。重点检查名称包含“MicrosoftEdgeUpdateTaskUA”、执行目标却位于C:\Users\Public、C:\ProgramData等非常规目录的任务，以及每隔1至30分钟重复执行、设为隐藏且无限期运行的任务。

（6）检查hosts文件与安全软件可达性。若发现安全厂商域名被解析至127.0.0.1，应结合修改来源、关联进程和其他恶意行为开展排查；确认感染后立即隔离处置。

（7）启用终端行为检测，并对报告所列IOC中的域名与C2地址实施网络层阻断。该团伙在服务端按次打包载荷，同名文件的哈希值不同，基于文件哈希的黑名单拦截基本失效，下载时应警惕此类文件。

八、相关IOC

受篇幅所限，钓鱼及传播域名表仅抽样列出50条代表性条目，全量IOC清单见附件《“银狐”木马“甲蚁（G01）”团伙全量仿冒网站清单》。

（一）钓鱼域名

（二）传播地址

（三）C2地址

（四）样本名称及hash

（五）签名特征

（六）主机及流量特征

附件：“银狐”木马“甲蚁（G01）”团伙全量仿冒网站清单

请点击阅读原文查看附件！

阅读原文

跳转微信打开

9月23日，中国互联网网络安全威胁治理联盟在北京召开“银狐”木马专项打击行动阶段总结会，总结前期工作成效，交流技术实践，研究下一阶段重点任务。专项行动工作组各成员单位代表参加会议。

“银狐”木马主要通过仿冒软件下载网站、钓鱼邮件、即时通信等渠道传播，感染用户终端后实施远程控制、信息窃取等恶意行为，为网络诈骗等违法犯罪活动提供条件。为应对相关威胁，威胁治理联盟自7月29日起组织开展专项打击行动，面向社会公开征集威胁信息线索，汇聚各方力量开展监测发现、分析研判和协同处置。

专项行动开展以来，各成员单位共享威胁线索、联合开展研判，针对恶意控制端及关联域名进行处置，逐步建立起情报报送、联合研判、协同处置、效果反馈的工作机制。当前，专项情报库已收录威胁指标数据2.4万余条，累计处置控制端IP及端口2588个、控制域名8587个。监测显示，境内被控端数量较前期下降约55%，专项行动取得阶段性成效。

在持续处置恶意网络资源的同时，专项行动工作组加强对重点团伙的追踪分析，梳理仿冒网站、恶意样本和控制设施之间的关联，为识别传播渠道、排查感染终端和开展针对性处置提供技术依据。专项行动工作组还通过CNCERT和威胁治理联盟网站公布重点控制端及关联域名信息，提醒社会公众开展风险排查。

会上，互联网域名系统国家工程研究中心（ZDNS）、安天科技集团股份有限公司、天融信科技集团股份有限公司、北京微步在线科技有限公司等成员单位分别介绍了仿冒网站监测、团伙攻击活动分析、威胁情报研判和恶意域名解析阻断等工作情况。与会代表结合实践，围绕提高情报质量、深化技术合作、提升处置精准性和完善效果评估等进行了交流。

会议强调，要在前期工作基础上，持续加强情报和专业力量支撑，深入分析重点团伙的攻击手法与活动规律，及时发现、核验和处置新增攻击资源。要加强处置后的跟踪复核，将效果评估与补充研判紧密衔接，推动专项治理持续取得实效。同时，做好威胁情报共享、风险提示发布和公众查询服务，将分析成果转化为具体防护措施，更好地保障用户终端和网络安全。

下一步，联盟将继续组织成员单位深化协同治理，并持续面向社会征集相关威胁线索。有关单位和广大网民可通过 silverfox@cert.org.cn报送可疑网站、恶意下载链接、样本及其他线索。提醒广大用户通过官方网站或可信应用商店下载软件，仔细核对网址，谨慎打开来源不明的链接和附件，及时更新安全防护软件，共同防范“银狐”木马威胁。

跳转微信打开

以下文章来源于：CNVD漏洞平台

国家信息安全漏洞共享平台（China National Vulnerability Database）是由国家计算机网络应急技术处理协调中心联合重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库。

2026年09月14日-2026年09月20日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞980个，其中高危漏洞546个、中危漏洞371个、低危漏洞63个。漏洞平均分值为6.89。本周收录的漏洞中，涉及0day漏洞882个（占90%），其中互联网上出现“School Registration and Fee System、Patient Record Management System SQL注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数44969个，与上周（28158）环比增加60%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件15起，向基础电信企业通报漏洞事件6起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件1356起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件103起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件44起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：