运维123 - 威胁情报
type: channel
link: https://www.sddts.cn/index.php/tag/%E5%A8%81%E8%83%81%E6%83%85%E6%8A%A5/
items: 中国主机托管生态系统中的恶意软件 C2 基础设施分析
items: wtfis 被动式主机名域名IP查询工具技术分析

中国主机托管生态系统中的恶意软件 C2 基础设施分析
type: item
date: 2026-01-19T15:04:53+00:00
description: 中国主机托管生态系统中的恶意软件 C2 基础设施分析一、概述1. 研究背景随着网络威胁的不断演变，恶意软件命令与控制（C2）基础设施的规模和复杂性持续增长。Hunt.io 通过其 Host Radar 平台对中国主机托管生态系统进行了大规模分析，发现了一个令人担忧的现象：超过 18000 个活跃的 C2 服务器分布在中国的 48 家主要基础设施提供商网络中。2. 研究意义这项研究揭示了威胁情报分析中的一个关键问题：传统的基于单一威胁指标（如 IP 地址或域名）的威胁狩猎方法存在局限性。当将恶意基础设施从国家层面进行系统性分析时，可以发现不同攻击活动之间共享的基础设施模式。3. 核心发现A. 基础设施规模在 90 天的观察期内，检测到 21629 个恶意基础设施指标，其中包括：超过 18000 个 C2 服务器2837 个钓鱼网站528 个恶意开放目录134 个公开的入侵指标（IOC）B. 分布特征中国联通单独承载了近一半的 C2 服务器（约 9100 个），阿里巴巴云和腾讯分别承载约 3300 个，显示出恶意活动在大型电信和云平台中的高度集中。二、中国恶意基础设施格局1. 按提供商分布的分析A. 中国联通中国联通作为中国最大的电信提供商之一，表现出最高的 C2 服务器数量，90 天内检测到 9000 个，同时还有 30 个恶意开放目录和 11 个 IOC。仅这一家提供商就占分析期间中国主机托管环境中观察到的所有 C2 基础设施的近一半。B. 阿里巴巴云作为领先的云服务提供商，阿里巴巴云显示出显著的 C2 存在，有 3300 个服务器和 37 个钓鱼网站。值得注意的是，它没有开放目录或 IOC，这反映了云环境主要用于弹性命令与控制操作，而不是暴露的恶意工件。C. 腾讯腾讯作为中国大型科技集团，展示了更多样化的恶意足迹。在 90 天内，它托管了 3300 个 C2 服务器、122 个开放目录、26 个 IOC 和 2400 个钓鱼网站，表明其广泛的面向互联网服务（包括社交媒体、游戏和电商平台）被大量滥用。D. 中国电信相比之下，中国电信显示适度的 C2 活动，同期有 617 个服务器和 42 个开放目录，反映了对国有电信基础设施的目标性利用。E. JD.comJD.com 作为主要的电商提供商，表现出最小的恶意活动，有 385 个 C2 服务器，没有开放目录、IOC 或钓鱼网站，这表明零售网络与大型电信和云平台相比，吸引力较低或被滥用程度较低。graph TD A[中国恶意基础设施分布] --> B[中国联通 9000 C2] A --> C[阿里巴巴云 3300 C2] A --> D[腾讯 3300 C2 + 2400 钓鱼] A --> E[中国电信 617 C2] A --> F[JD.com 385 C2] B --> G[占比 ~50%] C --> H[云平台滥用] D --> I[多样化恶意活动] E --> J[电信基础设施利用] F --> K[零售网络相对安全]2. 恶意基础设施类型分布A. C2 基础设施主导地位数据显示，C2 基础设施主导了观察到的恶意活动，约占所有观察到的恶意工件的 84%，其次是钓鱼基础设施约占 13%，而恶意开放目录和公开 IOC 合计贡献不到 4% 的观察活动。B. 前十大托管商按 C2 服务器检测数量排名的前十家公司中，中国联通是最大的贡献者，检测到 9100 个 C2 服务器，占此数据集中所有观察到的 C2 活动的近一半。阿里巴巴云和腾讯紧随其后，各自约有 3300 个 C2 检测，表明对大规模云环境的大量滥用，这些环境提供快速配置和高可用性。中国电信排名第四，有 620 个检测，而 JD.com 以 385 个 C2 服务器完成前五名。graph LR A[恶意基础设施分布] --> B[C2 服务器 84%] A --> C[钓鱼网站 13%] A --> D[开放目录 <4%] A --> E[公开 IOC <4%] B --> F[18000+ 服务器] C --> G[2837 网站] D --> H[528 目录] E --> I[134 IOC]三、恶意软件家族分布1. 主导恶意软件类型通过 HuntSQL 分析，中国网络中托管的 C2 基础设施按恶意软件家族分布如下：A. Mozi 恶意软件Mozi 以 9427 个唯一 C2 IP 为主导，占所有观察到的 C2 活动的一半以上。这是一个基于 IoT 的僵尸网络，通过针对物联网设备（特别是路由器和摄像头）进行传播。B. ARL 框架第二大集群 ARL（2878 个 C2）表明，红队或后渗透框架被大量重新用于恶意操作。C. 商业框架和商品僵尸网络中层威胁如 Cobalt Strike（1204）、Vshell（83…

中国主机托管生态系统中的恶意软件 C2 基础设施分析
type: item
date: 2026-01-19T14:35:47+00:00
description: 中国主机托管生态系统中的恶意软件 C2 基础设施分析一、概述1. 研究背景A. 问题提出威胁狩猎通常从单个指标开始，如可疑 IP 地址、信标域名或已知恶意软件家族。然而，单独查看这些指标会导致底层基础设施难以被发现。B. 核心发现Hunt.io 在分析中国主机托管环境中的恶意活动时，反复观察到相同的网络和提供商出现在不相关的活动中。商品化恶意软件、网络钓鱼操作和国家相关工具经常在同一基础设施中并存。C. 研究价值本研究揭示了基于指标 hunting 的局限性，展示如何通过主机为中心的方法在国家级尺度上观察恶意基础设施集群和持久性。2. 研究方法A. 数据来源Host Radar 平台聚合了 C2 检测、网络钓鱼识别、开放目录扫描和 IOC 提取的信号，并与主机托管、ASN 和网络所有权上下文进行关联。B. 分析周期2025 年 10 月 5 日至 2026 年 1 月 3 日，共计 90 天。C. 覆盖范围48 个中国基础设施提供商和网络实体。二、核心发现1. 关键数据A. 总体规模C2 服务器：18,000+ 个网络钓鱼站点：2,837 个恶意开放目录：528 个公共 IOC：134 个恶意工件总数：21,629 个B. 分布比例C2 基础设施占约 84%网络钓鱼基础设施占约 13%恶意开放目录和公共 IOC 合计占不到 4%2. 提供商分布A. Top 5 提供商排名提供商C2 服务器数量占比1中国联通9,100约 50%2阿里云3,300约 18%3腾讯3,300约 18%4中国电信620约 3%5京东385约 2%B. 基础设施集中度pie title 中国 C2 服务器分布（Top 5 提供商） "中国联通" : 50 "阿里云" : 18 "腾讯" : 18 "中国电信" : 4 "京东" : 2 "其他" : 8三、恶意基础设施分布1. 按提供商分析A. 中国联通C2 服务器：9,000 个（90 天内）恶意开放目录：30 个IOC：11 个特点：单一提供商占所有中国 C2 基础设施的近一半B. 阿里云C2 服务器：3,300 个网络钓鱼站点：37 个恶意开放目录：0 个IOC：0 个特点：云环境主要用于弹性 C2 操作，而非暴露工件C. 腾讯C2 服务器：3,300 个网络钓鱼站点：2,400 个恶意开放目录：122 个IOC：26 个特点：多样化的恶意足迹，大量滥用社交媒体、游戏和电商平台D. 中国电信C2 服务器：617 个恶意开放目录：42 个特点：国有电信基础设施的定向利用E. 京东C2 服务器：385 个恶意开放目录：0 个IOC：0 个网络钓鱼站点：0 个特点：零售网络相对较少被滥用2. 基础设施类型分布pie title 中国恶意基础设施类型分布 "C2 服务器" : 84 "网络钓鱼" : 13 "开放目录" : 2 "公共 IOC" : 1四、恶意软件家族分析1. Top 10 恶意软件家族排名恶意软件家族C2 IP 数量类型1Mozi9,427IoT 僵尸网络2ARL2,878红队框架3Cobalt Strike1,204商业 C2 框架4Vshell830后门5Mirai703IoT 僵尸网络6Gophish420网络钓鱼框架7NanoCore380RAT8AsyncRAT290RAT9Acunetix180漏洞扫描10XMRig150加密货币挖矿2. 恶意软件类型分布graph TD A[中国恶意软件 C2 基础设施] --> B[IoT 僵尸网络 52%] A --> C[红队/后门框架 28%] A --> D[RAT 远程访问 12%] A --> E[网络钓鱼/扫描 5%] A --> F[加密挖矿 3%] B --> B1[Mozi] B --> B2[Mirai] C --> C1[ARL] C --> C2[Cobalt Strike] C --> C3[Vshell] D --> D1[NanoCore] D --> D2[AsyncRAT] E --> E1[Gophish] E --> E2[Acunetix] F --> F1[XMRig]五、基础设施提供商风险分析1. 最高恶意软件多样性提供商排名提供商恶意软件家族数C2 端点数1腾讯云计算（北京）60~2,0002阿里云计算52~1,9563亚太网络信息中心（APNIC）27数据不足4华为公有云服务20数据不足2. 系统性风险评估graph LR A[高风险提供商] --> B[腾讯云] A --> C[阿里云] A --> D[APNIC] A --> E[华为云] B --> B1[60 恶意软件家族] B --> B2[2000+ C2 端点] B --> B3[重复利用跨活动] C --> C1[52 恶…

wtfis 被动式主机名域名IP查询工具技术分析
type: item
date: 2026-01-17T02:04:27+00:00
description: wtfis 被动式主机名域名IP查询工具技术分析一、概述1. 项目简介A. 是什么wtfis 是一个命令行工具，用于通过多种 OSINT（开源情报）服务收集域名、FQDN 或 IP 地址的相关信息。该工具专为人类用户设计，提供美观易读的输出结果，而非机器可解析的原始数据。B. 为什么需要传统 whois 工具输出格式不友好，难以阅读安全研究人员需要快速了解目标主机的威胁情报手动查询多个威胁情报平台效率低下需要一个集成化的信息汇总工具C. 项目背景项目名称源于对 whois 工具的重新诠释GitHub Star 数 1.7k，Fork 数 82最新版本 v0.14.0（2025 年 12 月 3 日发布）支持 Python 3.14采用 MIT 开源许可证二、核心功能1. 支持的查询类型域名（Domain）完全限定域名（FQDN）IP 地址2. 数据来源wtfis 整合了多个 OSINT 服务的 API，提供全面的目标情报：graph TB Input[用户输入 域名/FQDN/IP] --> wtfis[wtfis 处理核心] subgraph 必需服务 VT[VirusTotal] end subgraph 可选服务 Abuse[AbuseIPDB] Grey[GreyNoise] IP2Loc[IP2Location] IP2Who[IP2Whois] IPinfo[IPinfo] IPWho[IPWhois] Shodan[Shodan] URLhaus[URLhaus] end wtfis --> VT wtfis --> Abuse wtfis --> Grey wtfis --> IP2Loc wtfis --> IP2Who wtfis --> IPinfo wtfis --> IPWho wtfis --> Shodan wtfis --> URLhaus VT --> Output[汇总输出] Abuse --> Output Grey --> Output IP2Loc --> Output IP2Who --> Output IPinfo --> Output IPWho --> Output Shodan --> Output URLhaus --> OutputA. VirusTotal（必需）威胁分析统计与厂商详情信誉评分（基于社区投票）流行度排名（Alexa、Cisco Umbrella 等）厂商分类解析记录Whois 信息（备用）B. AbuseIPDB滥用置信度评分（0-100）举报次数C. GreyNoiseNoise 状态：是否经常扫描互联网RIOT 状态：是否属于常见商业应用分类：良性、恶意、未知D. IP2Location / IPWhois / IPinfo地理位置信息ASN 和组织信息代理检测域名信息E. IP2Whois域名 Whois 数据注册人信息F. Shodan开放端口和服务列表操作系统识别Shodan 标签G. URLhaus在线恶意 URL 数量DNSBL 和 SURBL 块列表状态历史标签三、系统架构1. 工作流程sequenceDiagram participant U as 用户 participant W as wtfis participant VT as VirusTotal participant OS as 其他OSINT服务 participant D as 数据聚合模块 participant R as 结果渲染模块 U->>W: 输入目标 + 参数 W->>VT: 请求基础情报（必需） W->>OS: 请求增强情报（可选） par 并行查询 VT-->>D: 返回分析数据 OS-->>D: 返回增强数据 end D->>D: 数据整合与去重 D->>R: 格式化数据 R->>U: 渲染面板输出2. 设计原则API 调用最小化：避免达到免费层配额限制人类可读性：结果以面板形式组织，易于理解模块化设计：每个数据源独立实现可扩展性：易于添加新的数据源3. 技术栈语言：Python 99.5%包管理：PyPI、conda-forge、Homebrew容器化：Docker 支持四、安装与配置1. 安装方式A. 通过 pip 安装pip install wtfisB. 通过 conda 安装conda install -c conda-forge wtfisC. 通过 Homebrew 安装brew install wtfisD. 通过 Docker 安装make docker-image2. 环境配置A. 必需配置VT_API_KEY：VirusTotal API 密钥（必需）B. 可选配置ABUSEIPDB_API_KEY：AbuseIPDB API 密…