仿冒 DeepSeek 只是入口：银狐黑产域名储备式作战全景
议题分享
银狐（Silver Fox）是长期活跃于中文互联网的黑产团伙。在既有仿冒版图基础上，该团伙近期的活动新增了AI工具客户端仿冒——利用用户"找官方下载"的心理，在AI客户端/官网下载场景高频设伏。本报告以"仿冒 DeepSeek"站点作为入口IOC开展资产测绘，并以前期析出的注册者为锚点进行二次关联，得到拓线关联IOC8,818个独立域名、2,062个承载IP，覆盖DeepSeek、豆包、Kimi、元宝、讯飞星火等AI工具及其他20+仿冒品牌。
摘要 -- 银狐（Silver Fox）是长期活跃于中文互联网的黑产团伙。在既有仿冒版图基础上，该团伙近期的活动**新增了AI工具客户端仿冒**——利用用户"找官方下载"的心理，在AI客户端/官网下载场景高频设伏。本报告以"仿冒DeepSeek"站点作为**入口IOC**开展资产测绘，并以前期析出的注册者为锚点进行二次关联，得到 **拓线关联IOC8,818个独立域名**、**2,062个承载IP**，覆盖DeepSeek、豆包、Kimi、元宝、讯飞星火等AI工具及其他20+仿冒品牌。  **研究范围声明** 本报告未开展大规模主动测绘，所有数据均源于对已发现入口 IOC的被动拓线与公开资产关联。因此，本报告呈现的资产规模与拓线结果仅为银狐组织海量资源中的冰山一角，实际作战资产远超所见；相关结论不构成对该团伙整体活动水平的完整评估。 一、背景与概述 ------- 银狐（Silver Fox）是长期活跃于中文互联网的黑产团伙，历史上多以办公软件、即时通讯、远控工具为诱饵投递木马。其在既有仿冒对象之外，**新增了AI工具客户端仿冒**：伴随着AI大模型工具的全民化，该团伙开始在AI客户端/官网下载场景设伏，利用用户"找官方下载"的心理高频截流。 从攻击链看，银狐的典型手法为：**注册高度仿真的品牌域名 → 部署伪造的"官方下载"页面 → 诱导用户点击下载 → 投递远控木马（如Gh0st、银狐专属RAT）或窃取凭据**。由于AI工具用户基数大、官方下载入口分散，受害者极易被仿冒站点截流。 二、仿冒AI网站分析 ---------- ### 2.1 入口IOC拓线发现与规模 以**仿冒DeepSeek站点作为入口IOC**，开展资产测绘与拓线，共关联出资产记录**993条**，去重后对应**94个独立仿冒域名**（在WHOIS层归并为50个主域名）。扫描时全部返回 HTTP200，**可达率100%**，说明该批线索在发现期处于活跃服务状态。 ### 2.2 仿冒品牌分布（以DeepSeek为主） 通过测绘拓线的相关资产分析，其仿冒目标高度集中于AI工具，其中**DeepSeek占绝对主体（794条，80.0%）**，其余包括腾讯元宝（162）、豆包（32）、讯飞星火（3）、Kimi（2）等。**需特别强调：这一结论"以DeepSeek为主"的分布，与本次入口IOC以"仿冒DeepSeek"为采集起点直接相关**，因为本次测绘主要对仿冒AI工具相关站点进行拓线测绘，不代表银狐整体仿冒版图中DeepSeek必然占主导；拓线关联线索已显示其仿冒对象远超AI工具（详见第五章）。  ### 2.3 关键观察：仿冒DeepSeek站点未挂载样本（重点预警） 在对测绘到的AI工具相关的线索中仿冒DeepSeek站点的手动验证中，我们发现一个**极为重要**的现象：部分站点页面伪装完整、HTTP可达，但其"下载"入口**并未挂载恶意样本**——点击下载实际跳转至百度首页（或其他非恶意页面），即"页面已就位、木马样本却尚未投放"。 暂未挂载木马文件网站：  三、仿冒网站注册者画像 ----------- 对AI工具相关的线索的WHOIS与注册者情报进行清洗，共析出**10名注册者**，关联域名**21个**，其中**4名为高危**（微步判定恶意钓鱼/黑产团伙）。 ### 3.1 高危注册者画像 | 注册者 | 注册邮箱 | 关联域名数 | 服务器IP | 位置 | 微步判定 | 风险等级 | |---|---|---|---|---|---|---| | **徐涛** | 7cf560423@baituo.io | 6 | 47.76.203.20 | 阿里云-中国香港 | 恶意（钓鱼/仿冒） | 高危 | | **杨祯棋** | 16626567782@wo.cn | 2 | — | — | 未知（未收录） | 可疑 | | **黄振辉** | 6opw59924@ningqi.live | 1 | 47.80.29.132 | 阿里云-韩国首尔 | 恶意（钓鱼/仿冒） | 高危 | | **何龙飞** | 13692578490@139.com | 1 | — | — | 未知（未收录） | 可疑 | | **李苗苗** | jiangdaga50@gmail.com | 1 | — | — | 未知（未收录） | 可疑 | | **肖伟杰** | bernieweathers@hotmail.com | 4 | — | — | 未知（未收录） | 高危 | | **杨康** | kuoq61@sina.com | 3 | — | — | 未知（未收录） | 可疑 | | **许慈** | sellaimarag@outlook.com | 1 | — | — | 未知（未收录） | 可疑 | | **刘俊川** | 3973797574@qq.com | 1 | — | — | 未知（未收录） | 高危 | | **乔蓉蓉** | 3877098865@qq.com | 1 | — | — | 未知（未收录） | 可疑 | 注：上表为资产测绘析出的注册者情报，"关联域名数"指该注册者直接关联的钓鱼域名数量。  ### 3.2 注册时间集中度 从可追溯注册时间的主域名看，注册行为高度集中于**2026 年5–6月**，呈现明显的"集中批量注册"特征，与AI工具热度攀升时段高度吻合，符合战役化准备的时间窗口。  ### 3.3 注册商分布 注册商呈现"境外注册商 + 国内小众注册商并存"格局，且**个人注册占比高达80%**，说明团伙刻意使用个人身份与境外注册商以降低溯源成本、规避实名监管。  四、关联拓线分析 -------- ### 4.1 以注册者作为关键点开展的拓线关联：海量资产的冰山一角 以上述注册者信息，进行**拓线关联**，新发现**8,797个**独立仿冒域名，并与AI工具相关线索确认**21条**重叠记录。拓线累计资产达**27,811条**、**8,818个独立域名**、**2,062个承载IP**。  ### 4.2 基础设施与托管分析 #### 4.2.1 地理分布 拓线关联域名地理归属以**美国（11,354）**与**中国（6,660）**为主，智利、罗马尼亚等亦占一定份额，体现其"多国跳板、混合托管"的隐匿策略。  #### 4.2.2 运营商/ASN 托管高度集中于少数运营商：**日本电报电话公司（NTT，5,745）**、Cloudflare、阿里云，以及多家香港运营商（香港有线电视、动力线、罗格朗）。其中**NTT与香港罗格朗集群**是承载域名最密集的核心节点。  #### 4.2.3 端口与服务指纹 开放端口以**80/443** 为绝对主体（合计占比超90%），即以Web仿冒页面为主要投送面；少量8080/8888/8443等端口用于管理面板或代理，是后续溯源与封堵的辅助抓手。  五、仿冒目标与品牌分析 ----------- ### 5.1 识别类仿冒品牌明细 拓线关联线索识别出的仿冒品牌远不止AI工具，包含**办公协作（WPS、飞书、钉钉、腾讯会议）、通讯社交（QQ、微信、Telegram）、开发工具（Chrome/Google、Office、Adobe、AWS）、金融（同花顺、百度）、代理/VPN**等30+类别。其中代理/VPN（456）、QQ（372）、WPS（117）等数量居前，反映银狐的仿冒版图早已超越AI，覆盖日常高频工具。 | 仿冒品牌 / 类别 | 域名数 | 示例域名 | |---|---|---| | 代理/VPN | 456 | clashcn-verge.com.cn、clash-vergerev.cn、www.clashcnverge.com.cn | | QQ | 372 | syzsqq.com.cn、m.ykl.irxzqqj.cn、www.glg.irxzqqj.cn | | WPS | 117 | wps-office-download.hl.cn、www.wps-home.com.cn、www.docx-wps.cn | | 飞书 | 98 | wins-feishu.com.cn、feishu-web.cn、www.feishu-pc.cn | | Chrome/Google | 91 | cn.chrome-app.tj.cn、goo-google.cn、zh-360chromee.hl.cn | | 向日葵 | 85 | www.oray-xiangrikui.com.cn、www.sunlogin-orayc.com.cn、www.oray-xrk.com.cn | | 电商 | 79 | sejda-pdf.hl.cn、xrvjum.sxqfjd.cn、rwljdm.rmc.avwrxzyan.cn | | 网易 | 77 | www.zh-music163.com.cn、www.uuyc-wangyi.com.cn、163wyy.hl.cn | | ToDesk | 72 | pr-todesk.com.cn、an-todesk.com.cn、www.cn-todesks.com.cn | | 钉钉 | 63 | dingding-learing.com.cn、pc-dingdingtalk.com.cn、oa-dingtalk.com.cn | | 豆包 | 62 | doubaosrf.hl.cn、tp-doubao.com.cn、srf-doubao.com.cn | | 金山 | 48 | zh.jinshan-ai.com.cn、zh.zh-jinshan.com.cn、web.jinshanword.com.cn | | 腾讯元宝 | 46 | www.ai-yuanbao.cn、yuanbao-ai.com.cn、www.aizs-yuanbao.com.cn | | 滴滴 | 44 | 003ru.didive.cn、balata.didive.cn、app1.didive.cn | | 百度 | 42 | paa-baidu.com.cn、www.baidu-tieba.com.cn、cn-baidushuru.com.cn | | 夸克浏览器 | 42 | gw-quark.com.cn、www.quark-browser.com.cn、www.win-quarkpan.com.cn | | Office | 38 | microsoft-office.hl.cn、co-office.com.cn、pc-aippt.com.cn | | 有道 | 32 | youdao-dict.com.cn、www.youdaonote.com.cn、cd-youdao163.com.cn | | 微信 | 29 | z-weixin-qq.com.cn、dnweixindk.com.cn、ca-weixinshurufa.com.cn | | 美图秀秀 | 28 | zh-meitu.hl.cn、pc-meituxiuxiu.com.cn、www.mei-meitu.com.cn | | 直播/视频 | 28 | biliibili.com.cn、dy-douyu.com.cn、www.app-huyazhibo.com.cn | | Azure/MS | 28 | microsoft-project.com.cn、microsoft-edge-cn.hl.cn、www.cn-microsoft.com.cn | | Canva | 22 | apps-canva.com.cn、www.kh-canva.com.cn、canvaapp.hl.cn | | Telegram | 22 | tgsegfxtm.junyuepackaging.cn、ftgdzwap.nte.niuroulamian.cn、gbxjym.tgk.tjzmb.cn | | 腾讯会议 | 16 | meeting-tencent.com.cn、www.cn-meeting.com.cn、zh-meeting.com.cn |  ### 5.2 域名后缀与命名模式 域名后缀以 **.cn（5,147）** 与 **.com.cn（3,805）** 为主，二者合计约占 100%，契合"面向中文用户、仿冒国内品牌"的定位；少量.com/.net用于国际化工具。  命名模式上，**品牌词直嵌**（如deepseek-xxx、doubao-xxx，779）、**功能/平台前缀**（ai-、app-、pc-、win-、mac-，781）、**多级子域**（2,464）三类最为典型，均旨在让域名在视觉上贴近官方下载地址，诱导用户误信。 六、综合分析结论 -------- 1. **仿冒版图扩展：** 银狐在既有仿冒对象基础上**新增了AI工具客户端仿冒**（而非从传统工具"迁移"）；入口IOC以仿冒DeepSeek为主，这与其采集起点直接相关，不代表团伙整体重心。 2. **样本缺失预警：** 入口IOC中部分仿冒DeepSeek站点仅完成页面伪装、**未挂载恶意样本**，是实施攻击前的"预置基础设施"的早期信号。 3. **冰山效应：** 以少量入口IOC作为基础即拓出逾 8,800域名，且本报告**未开展大规模测绘**，所见仅为冰山一角，实际资产规模远超本次覆盖。 4. **版图超AI：** 仿冒品牌已覆盖办公、通讯、开发、金融、代理等30+类别。
发表于 2026-08-14 09:30:02
阅读 ( 4546 )
分类：
其他
2 推荐
收藏
0 条评论
牛角大王
1 篇文章
×
温馨提示
您当前没有「奇安信攻防社区」的账号，注册后可获取更多的使用权限。
×
温馨提示
您当前没有「奇安信攻防社区」的账号，注册后可获取更多的使用权限。
×
举报此文章
垃圾广告信息：
广告、推广、测试等内容
违规内容：
色情、暴力、血腥、敏感信息等内容
不友善内容：
人身攻击、挑衅辱骂、恶意行为
其他原因：
请补充说明
举报原因:
×
如果觉得我的文章对您有用，请随意打赏。你的支持将鼓励我继续创作！
