// 漏洞预警 · 威胁情报

银狐 IOC 翻倍到 20 条禅道 env.bak 却骤降

本期 11 个定向 IP 中 4 个来自境内（北京×2/江苏苏州/河南周口）+ 7 个境外（美国×6），对 15 家重点单位发起攻击、涉 7 行业；恶意样本回升至 9 个（含 SDL2.dll/svchost.exe 伪装系统文件、中文名仿冒政策文件 zip）；银狐 IOC 翻倍至 20 条（9 个全端口仿冒域名）；监测侧收录 18 个漏洞、关联 25 个高危攻击 IP——禅道 env.bak 骤降到 1 例（4%），金和 C6 SQL 注入 7 例冲第一。

11个定向攻击IP18漏洞+25攻击IP禅道占4%

9.19 三个核心信号：银狐 IOC 从 10 条翻倍到 20 条、恶意样本从 6 个回升到 9 个、禅道 env.bak 从 13 例（43%）骤降到 1 例（4%）；定向攻击 IP 升至 11 个（4 境内+7 境外，美国占 6），对 15 家重点单位、涉 7 行业（党政/教育/银行/民航/铁路/电信等）。四类完整明细见 05 附表。

近几日关键指标走势（看趋势比看单日更准）：

1.1 定向攻击 IP（11 个，4 境内 7 境外）对 15 家重点单位发起攻击，涉 7 行业（党政/教育/银行/民航/铁路/电信等），攻击方式含后门攻击、组件漏洞攻击、代码注入、SQL 注入、命令注入。本期境内源集中在北京×2、江苏苏州、河南周口；境外源为美国×6（芝加哥/肯特×2/洛杉矶/萨拉托加/北查尔斯顿/纽约）。完整列表见附件一。

1.2 恶意样本（9 个）从上期 6 个回升，含SDL2.dll/svchost.exe/rmactivate.exe（伪装系统 DLL/进程名，最易漏）、UU_aNCcWz7.exe、FTPServer.EXE、SystemSettings.exe、Client.exe、LetsPRO.exe，以及中文名关于2025年稳岗就业补助申报政策发放的通知.zip（仿冒政策文件钓鱼），靠文件名分辨不出。MD5 见附件二。

1.3 银狐组织 IOC（20 条）9 个全端口仿冒域名（facebook 系 fcaebooks.com、微软系 mlcrosoft.vip 四个 + mebugai 系 01mebugai.com、bjjik.com/sdfcxzxcv.cc/www.hotsbs.xyz 等）+ 11 个 IP 端口（154.19.253.13换端口 443/80、38.49.16.11780/443、116.213.43.125443/80、27.124.4.132等续打）。全端口监听的仿冒域名别只看 80/443。完整列表见附件三。

1.4 高频漏洞和高危攻击 IP（25 条）18 个漏洞关联 25 个高危 IP：禅道 env.bak 骤降到 1 例（4%），金和 C6 SQL 注入（7 例）冲到第一、蓝凌 OA 远程执行（6 例）、SP Page Builder 上传（CVE-2026-48908，4 例）接力。完整列表见附件四。

本期报告称收录18 个漏洞，关联 25 个高危攻击 IP（附表按公开明细列出 25 条）。请依据漏洞列表核查资产、补丁到位与否自己查——规则能拦，不等于系统没漏洞。

25 个攻击 IP 关联的漏洞类型分布：

以下均为防守动作，按优先级排序，今天即可执行。