“银狐”黑产供应链席卷全球：如何筑牢大型网络基础设施防线？
8月28日，国家互联网应急中心披露了一批“银狐”木马使用的恶意网络资产。其中，一个位于日本东京的恶意IP，关联25个域名，日控制规模达到18229；其他多组恶意IP的日控制规模同样达到数千甚至上万。9月1日，中心再次披露第二批TOP 10恶意资产，攻击面不断扩大。
几乎在同一时间，全球安全厂商也在追踪同一类威胁。
8月31日，卡巴斯基披露，2026年以来已检测到ValleyRAT及关联恶意程序超过10万次，涉及1500多名独立用户，主要分布在中国和印度；最新RustSL加载器的地理配置已经覆盖俄罗斯、印度、印度尼西亚、南非、日本等地区；微软发布最新报告，确认一场仍在进行中的攻击，受害方已波及医疗、制造、游戏、科技、物流、政府、高校等多个行业。
“银狐”风险波及全球，面对此类已经高度产业化、规模化的攻击，大型网络应当如何防御？
为什么端掉几个服务器、封掉一批恶意域名，攻击却很快又会出现？
今年8月，DomainTools追踪发现，与银狐相关的大规模恶意投递网络已经使用了数千个仿冒和错拼域名。6月中旬相关人员被捕后，仅6月17日至27日的10天内，研究人员又发现超过400个新的恶意域名完成注册并上线，其中一个运营集群10天注册322个域名，另一个集群注册113个。ThreatBook提出，“银狐”更接近一套由多个独立黑产团伙使用的工具和基础设施生态。
在这条恶意攻击链上，有不同的团伙分别负责域名、钓鱼页面、木马免杀、C2基础设施等等，还有不同的下游根据自己的目标选择AI应用、办公平台、网盘、VPN、交易软件，甚至安全软件作为诱饵。
与此同时，攻击入口已经高度日常化。9月，微软披露：攻击者已经开始按请求动态生成安装包。同一个下载文件名，在不同时间获取时Hash可能已经不同，防御已无法依靠单一样本特征判断；Atos报告则显示：攻击者利用存在漏洞的合法驱动进入内核层关闭安全进程，甚至伪造杀毒软件注册状态，能让系统继续显示设备“受到保护”。
攻击者正在不断削弱传统静态检测的有效性。防御一个固定样本相对容易，防御一个可以不断生成新样本、新域名和新IP的供应链，难度则大大提升。
即使变化已经成为攻击者本身的能力，但攻击活动最终仍然需要寻址、解析、建立连接、下载载荷、接受命令——通过联网才能实现伤害，攻击者就不可避免地需要依靠网络基础设施实现入侵。
在此之中，域名注册、解析关系、IP归属、ASN、Nameserver以及历史基础设施复用，往往会留下可以持续关联的线索，补上网络基础设施层的观测和关联能力。CNCERT最近公布的IOC非常典型，如恶意IP 177.4.3.92 同时关联大量类似 mlcrosoft.vip、mlcrosoft.my的域名；另一批恶意IP背后则关联 tax-check2026、office-auth-safe、workmail-safe-login、workwx-check 等具有明显诱导语义的域名。
微软在最新调查中甚至专门提醒：仅按照IP网段或者国家地区做判断，会漏掉攻击基础设施之间真正的关联。多个恶意域名虽然分散在不同地址段，却可能共享同一个ASN或者Nameserver。与此同时，由于这些ASN同时承载大量正常业务，ASN应该用于关联分析和威胁狩猎，而不能直接粗暴封禁。
这也是DNS安全和传统“黑名单”的本质区别。银狐已经开始借用GitHub、Microsoft Store跳转、AWS、Google Cloud、阿里云等合法基础设施绕过简单的域名信誉判断。
因此，只关注单独域名是不是在黑名单里，还远远不够：一边是工业化的攻击体系，另一边仍然依靠人工添加黑名单，攻防之间的速度差只会越来越大。大型网络需要将DNS视为持续工作的网络安全传感器，体系化构建网络基础设施安全防护。
大型网络用户，需要从命中恶意IOC升级为持续识别攻击基础设施，将DNS、外部IP情报、内部IPAM、网络流量与终端响应联成闭环，体系化构建网络基础设施安全防线。
1.提前统一DNS解析入口。企业终端应统一使用组织可管控的递归DNS，并通过终端策略，限制浏览器或应用私自使用未经批准的公共DNS、DoH/DoT服务，保证DNS请求可审计、可关联。
2.把“已知恶意”升级为“疑似恶意”。 除了同步CNCERT等渠道发布的IOC，更应该检测新注册域名、新观察域名、品牌错拼、同形字符、异常TLD、短时间批量注册、域名年龄、Nameserver复用、解析IP聚集等特征。银狐一天就可以换掉一批域名，等一个域名进入传统黑名单再处理，天然存在时间差。高置信度恶意域名可通过RPZ等DNS策略响应机制，或DNS Sinkhole直接阻断。
3.从单个IP升级到基础设施图谱。利用DNS还原域名与IP的历史解析关系，并结合RDAP/WHOIS、ASN/BGP、Nameserver和证书透明度等信息构建基础设施图谱。发现一个恶意域名以后，继续向旁边扩：同IP还有哪些域名、同NS管理哪些域名、同一批域名是否在相近时间注册。需要特别避免一刀切封ASN，共享云和IDC环境中，ASN更适合作为威胁狩猎线索。
4.补上“绕过DNS”的一层。ValleyRAT等载荷并不一定始终通过域名连接C2，攻击者完全可以把IP硬编码进配置。因此，应结合IP信誉、首次出现时间、ASN、端口协议、连接频率以及周期性Beacon等特征识别异常直连IP行为。Atos最新发现的KCP over UDP，就是典型例子。DNS防御必须与防火墙、NDR、出口流量监测协同，不能把没有恶意DNS请求错误理解为没有恶意通信。
5.把DNS日志真正关联到人和机器。在DHCP动态分配环境中，同一个IP在不同时间可能对应不同终端，依靠DHCP/IPAM保留的时间关系，把“恶意DNS查询”准确还原到具体终端、用户和资产。
6.形成自动化闭环，而不是一次性封禁。新IOC进入后自动分析、下发、阻断；发现感染终端后立即隔离，同时反查历史DNS和网络日志，搜索同一域名、同一IP以及关联基础设施是否还触达其他主机；进一步核查凭据泄露、远控、横向移动。如果只清理一台终端，而不反查同一基础设施在全网留下的痕迹，银狐这类攻击很容易挂一漏万。