银狐 G03 通过仿冒同花顺安装包传播
CNCERT 与北京观成科技追踪到一场利用搜索投毒和仿冒证券软件下载页投递 Windows 远控木马的攻击。CNCERT 在 10 月 4 日至 11 月 2 日期间观测到 25,164 台境内终端受控。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 运行过仿冒同花顺安装包的 Windows 用户。载荷可截屏、记录按键、执行命令和加载插件。
- Silver Fox · Windows · search poisoning
- 在野利用
- 已发现
- CNCERT 观测到受控终端活动，并披露了多阶段载荷。
发生了什么
攻击者利用搜索投毒和关键词竞价，将用户引向仿冒下载中心。运行 THS.zip 中未签名的 THS.exe 会同时启动 Microsoft.exe 加载器及带官方签名的同花顺安装程序。加载器在用户登录时自动启动，并通过 TCP 下载远控模块。25,164 是研究人员在所述期间通过境内监测观察到该团伙控制的终端数。报告未公布受影响证券账户数或已确认的资金损失。
以下是报告第八节的去活化指标。原报告将最前面的两个 URL 和前三条 C2 地址标记为发布时已失活。报告的基础设施表另列出四个可用于排查的仿冒域名。
https[:]//lojqka[.]com
https[:]//dowmasfz[.]cv/THS.zip
43.199.114[.]131:7777
52.223.22[.]103:2026
76.223.113[.]170:6789
134.122.155[.]140
204.194.50[.]202
143.92.40[.]155
134.122.189[.]47
143.92.40[.]243
134.122.155[.]157
118.107.44[.]141
134.122.204[.]118
134.122.200[.]118
134.122.155[.]105
154.201.82[.]55
118.107.47[.]92
134.122.204[.]71
134.122.129[.]44
134.122.189[.]31
1.32.250[.]70
134.122.155[.]16
134.122.129[.]33
103.101.176[.]18
143.92.40[.]244
118.107.44[.]226
143.92.43[.]162
134.122.155[.]14
134.122.155[.]150
143.92.37[.]202
134.122.189[.]27
118.107.44[.]15
yhao.sxkj999[.]vip
hk3.1984233[.]xyz
tj.edatonee[.]com
afa.sxkj999[.]vip
www.khop112[.]cfd
ahua.sxkj999[.]vip
gcheng.sxkj999[.]vip
laomo.sxkj999[.]vip
dan.sxkj999[.]vip
yifan.sxkj999[.]vip
haiwen.sxkj999[.]vip
test.nanhuasell[.]com
andi.sxkj999[.]vip
four.x517l[.]com
xsi.sxkj999[.]vip
cchen.sxkj999[.]vip
ae4697dc3688a45299a038e4b3d08df55a25dd4484273f63ae8922d80f765d35
c7fc37bc64f00c3aaf8422737a4c11ccb2d682ad283c0191e40c3b0fe7861279
413bbbcb3d3a0a97da6fbdbb71a92ce048c1016acfaf3cafbd5e58b1c6cb1008基础设施表及样本表中的其他域名、路径、哈希及地址。命中共享 CDN IP 时，应结合主机名、路径和终端行为再处置。
10jqkaapp[.]com
10jqkapc[.]com
l0jqka[.]com
l0jqka[.]ai
https[:]//lojqka[.]com/download
/skin/images/texiao1.png
53b7e792ab43ba2d529772c18f133dc62fd6d54e0139cf6cd7847eac8ddf07ee
736da9b2cab1ef70c2973cc211c5636a
134.122.204[.]71:443
134.122.155[.]157:443
143.92.40[.]155:443
134.122.155[.]140:443
172.67.136[.]42
13.113.93[.]176
104.21.80[.]194
172.67.153[.]78
104.21.59[.]154
172.67.159[.]215
104.21.62[.]131案发时间线
2026年11月10日
CNCERT 与观成科技发布 G03 分析
报告披露安装包投递链、10 月 4 日至 11 月 2 日的监测结果及完整指标列表。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- CNCERT 与北京观成科技联合分析一手来源记录安装包、受控终端监测数据、行为及指标。