近期，中国互联网网络安全威胁治理联盟（以下简称CCTGA）启动了“银狐”木马专项打击行动，重点围绕控制端打击、被控端处置、恶意样本传播链治理、成效评估和机制完善等重点任务统筹推进，保护人民群众合法权益。
本周，CCTGA研判确认了“银狐”木马使用的一批恶意网络资产，现予以披露。本次重点披露近期控制规模较大的TOP 20恶意网络资产，归属地主要分布于中国香港、新加坡、美国等国家和地区。
一、黑客团伙概述
“银狐”黑产团伙团伙又称“游蛇”“谷堕大盗”，长期通过仿冒软件下载站、搜索引擎恶意推广、钓鱼邮件及即时通信等渠道传播恶意程序，如Gh0st、Win0s、DcRat等一系列具备远程控制能力的木马程序，利用木马程序携带功能的如文件下发、进程管理、命令执行、屏幕监控、键盘记录以及敏感信息窃取等实施违法犯罪活动，对网络安全和人民群众合法权益造成较大危害。
恶意网络资产信息如下：
（一）恶意IP地址：177.4.3.200
关联域名：
113.mlcrosoft.vip
590kqnt.mlcrosoft.vip
help.3g.mlcrosoft.vip
it.4story.mlcrosoft.vip
0gnev.mlcrosoft.vip
关联端口：443
归属地：中国 中国香港
日控制规模：9808
（二）恶意IP地址：177.4.3.118
关联域名：23.mlcro.net
关联端口：443
归属地：中国 中国香港
日控制规模：9673
（三）恶意IP地址：177.4.3.144
关联域名：
20.mlcro.net
21.mlcro.net
关联端口：443
归属地：中国 中国香港
日控制规模：6700
（四）恶意IP地址：177.4.3.108
关联域名：113.mlcrosoft.vip
关联端口：443
归属地：中国 中国香港
日控制规模：6237
（五）恶意IP地址：177.4.3.141
关联域名：
72.mlcrosoft.my
c72.mlcrosoft.my
local6.mlcrosoft.my
local8.mlcrosoft.my
local72.mlcrosoft.my
关联端口：443
归属地：中国 中国香港
日控制规模：3399
（六）恶意IP地址：177.4.3.205
关联域名：
54.mlcro.net
11x.mlcrosoft.vip
关联端口：443
归属地：中国 中国香港
日控制规模：3299
（七）恶意IP地址：177.4.3.109
关联域名：61.mlcro.net
关联端口：443
归属地：中国 中国香港
日控制规模：2753
（八）恶意IP地址：192.229.87.72
关联域名：yusx04.cc
关联端口：80
归属地：新加坡（IDC）
日控制规模：1234
（九）恶意IP地址：103.224.182.189
关联域名：
cvgrf.biz
clashverges.com
关联端口：80
归属地：美国（IDC）
日控制规模：1209
（十）恶意IP地址：192.229.81.81
关联域名：yusx06.cc
关联端口：80
归属地：新加坡
日控制规模：876
二、排查方法
（一）详细查看分析近期浏览器历史记录、DNS请求及网络流量，重点排查是否存在访问银狐相关钓鱼网站、恶意域名及IP地址的记录。如发现相关访问行为，可进一步提取源IP、终端信息及访问时间等信息进行分析。
（二）重点检查终端近期下载文件及可疑程序，关注是否存在从钓鱼网站下载并执行恶意木马的情况，同时排查异常进程、启动项及网络连接等信息，判断终端是否存在木马感染。
（三）对发现的可疑终端进行重点勘验取证，并结合恶意文件哈希、网络通信地址等 IOC，在单位内部开展关联排查，确认是否存在其他受影响终端。
三、处置建议
（一）及时在威胁情报平台、网络出口及终端安全防护设备中更新相关 IOC，对恶意域名、IP及木马文件进行检测和拦截。
（二）对确认感染木马的终端及时进行网络隔离，清理恶意文件及相关持久化机制，并全面排查是否存在其他异常程序及网络通信行为。
（三）加强对钓鱼网站及恶意软件下载行为的安全防范，避免通过非官方渠道下载软件或打开来源不明的链接、文件，降低终端感染风险。
（四）向"银狐"木马专项打击行动线索征集邮箱[email protected]报告相关线索及样本信息。
（来源：CNCERT）