银狐木马第二批恶意IP的同网段聚集规律与扩线排查方法

原创

用户12496147

发布于 2026-09-03 10:31:10

140

9月1日，CCTGA又公布了"银狐"木马第二批TOP10恶意资产，距第一批（8月28日）只隔了5天。两批加起来20个控制端IP，第二批有个一眼就能看出来的特征：10个IP全部落在中国香港，日控制规模合计42626台，其中5个挤在177.4.3.0/24同一个网段里，占了61.3%。最大控制端177.4.3.92单日控制7737台。

把新清单加进黑名单，很多人昨天已经做完了。今天要聊的是清单背后那层——网段里还藏着没被披露的备用节点。

只封清单，等于给攻击者留了后门

"银狐"团伙投放Gh0st、Win0s、DcRat这类远控木马，中招终端会主动回连控制端。域名可以随时换，控制端IP是绕不开的接入点，所以官方披露都以IP为主。

但黑产不会一次把家底全亮出来。第二批5个IP挤在同一个/24网段，说明这批资产是批量采购、集中部署的。按这个规律，同一网段、同一ASN下的相邻IP，很可能就是没披露的备用控制端。只封名单上那5个，团伙换个相邻IP照样回连，等于封了个寂寞。

这就是扩线和封清单的区别。封清单是被动防守，扩线是顺着已披露的节点，把藏着的资产往外挖。

扩线抓三个抓手

第一个抓手是同网段。177.4.3.0/24这256个地址，已经确认5个是控制端，剩下的251个里有多少是备用的，值得扫一遍。

第二个抓手是ASN归属。查一下177.4.3.0/24挂在哪家IDC的ASN下，同一ASN下的其他网段，大概率也是同一批买的，顺手一起核验。

第三个抓手是域名和证书。仿冒域名统一走mlcrosoft.vip、mlcro.net、mlcrosoft.my这个家族，同一注册邮箱、同一张证书签出来的其他域名，也值得挖出来进拦截列表。

代码落地：扫网段

手动翻whois太慢，直接对网段做批量核验。以IP数据云的查询接口为例，把177.4.3.0/24扫一遍，筛出ASN一致、又是IDC机房的活跃节点：

python
import requests
def check_ip(ip, api_key):
 url = "https://api.ipdatacloud.com/v2/query"
 params = {"ip": ip, "key": api_key}
 try:
 resp = requests.get(url, params=params, timeout=3)
 data = resp.json()
 except Exception:
 return None
 if data.get("code") == 200:
 info = data.get("data", {})
 return {"ip": ip, "asn": info.get("asn"), "usage_type": info.get("usageType")}
 return None
# 已知控制端所在网段，逐地址核验，筛同ASN的IDC节点
known_asn = "AS13335" # 177.4.3.0/24 的ASN，以实际查询为准for host in range(1, 255):
 ip = f"177.4.3.{host}"
 r = check_ip(ip, "你的key")
 if r and r["asn"] == known_asn and r["usage_type"] in ("IDC", "CDN"):
 print(f"疑似同网段控制端: {r}")

扫完把命中的IP喂回防火墙和威胁情报系统，再配上日志里主动外连的终端做关联，网段级别的防线就成型了。这一步和昨天"封清单"最大的不同在于：昨天封的是已知，今天挖的是未知。