AVL Code
全部案例
#024 · 病毒检测

案例研究 · 病毒检测

基于 avlsdk-lite-mcp 的文件与哈希病毒检测

安全运营人员在 AVL Code 里一句话接入安天查毒 MCP（avlsdk-lite-mcp），顺手修复安装带来的默认后端切换并用真实样本验证安装，随后对 902,656 字节的可疑"激活工具"完成零执行判黑与加壳证据链分析，再核查一个仅凭 MD5 的哈希线索——三次对话，判定、归因、处置建议全部到手。

avlsdk-lite-mcp 1.1.3（发布 2 周）· Windows / Linux· npm 包（stdio，npx -y 启动）· 样本 902,656 字节 · 零执行· 3 条用户指令

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话

概览

  1. 01

    接入查毒能力 — 装好、纠偏、实弹验证

    你只说一句话：AVL Code 确认包源、探活工具、dry_run 预览后落地安装；发现默认后端被切走后恢复为 zworkspace，并用一次真实扫描收尾验证。

  2. 02

    初判可疑文件 — 判黑 + 加壳证据链

    你把可疑路径交给 AVL Code：scan_file 送安天云端判黑 KMSAuto，PE 解析、熵分析、字符串与 IOC 提取本地佐证，三组哈希与处置建议一并交付。

  3. 03

    核查情报哈希 — 没有文件本体也能定性

    你给一段 MD5：scan_hash 精确匹配命中云端病毒库，定性 Lotok 后门家族，给出排查建议并提示可交叉验证。

向 AVL Code 发布任务

帮我安装@antiylabs/avlsdk-lite-mcp这个mcp

前提：AVL Code 已登录，网络可达 npm registry 与安天云端引擎（该包引擎与病毒库随包分发，恶意判定来自安天云端）

复现材料见文末 亲自检测 ↓

接入查毒能力

装一个陌生的 MCP，风险不在"装不上"，而在"装了什么、改了什么"。AVL Code 的做法是先弄清包的来历，再探活，最后才落地——每一步都先把风险说在前头：

你输入 → AVL Code 
帮我安装@antiylabs/avlsdk-lite-mcp这个mcp
AVL Code 执行 → 你会看到
npm view 确认包信息
→ @antiylabs/avlsdk-lite-mcp@1.1.3（安天官方，stdio 型，引擎与病毒库随包分发）
→ head/where 在 Windows 不可用、node 不在默认允许名单 → 改走 npx 方式
mcp.test_server 一次性探活 → 启动成功，暴露 2 个工具：scan_file / scan_hash
mcp.add_server dry_run 预览 → 确认 → 落地：name avlsdk-lite · 状态 connected
⚠ 落地后 default_backend 被切为 avlsdk-lite（原默认 zworkspace）
→ zMCP.admin.setDefaultBackend(name=zworkspace) 恢复默认后端
avlsdk-lite.scan_file(工作区 小马激活工具.exe) → black · HackTool/Win32.KMSAuto → 安装验证通过

可疑文件初判

上一章的验证扫描已经给这个文件挂上"恶意"标签，你随即给出它的正式路径，要求一次完整检测。AVL Code 没有重复"引擎说是"，而是补了一整条本地静态证据链——全程不运行样本：

你输入 → AVL Code 
检测这个文件是不是病毒 "E:\tmp\test_avlsdk_mcp\小马激活工具.exe"
AVL Code 执行 → 你会看到
avlsdk-lite.scan_file(E:\tmp\…\小马激活工具.exe)
→ verdict: black · 病毒名 HackTool/Win32.KMSAuto（黑客工具）
→ 三组哈希（MD5/SHA1/SHA256）全出，可直接进情报比对
→ 本地静态佐证：异常节区 OEM0/OEM1 + 虚拟空间扩展（加壳迹象）· 整体熵 7.87 · 无标准导入表
→ IOC 提取：www.pccppc.com 等可疑域名线索

情报哈希核查

研判场景里更常见的是手里根本没有文件：一段来自告警或情报推送的 32 位哈希，就需要一个"是/否"的答案。这个业务时刻只需要一句话：

你输入 → AVL Code 
使用 avlsdk-lite-mcp 验证这个Hash 1ab73824134aea10da876e76690ae6e1 是否是病毒
AVL Code 执行 → 你会看到
avlsdk-lite.scan_hash(md5=1ab73824…)
→ verdict: black（云端已收录该样本，结论可信）
→ 病毒名: Trojan/Win32.Lotok[Backdoor]（后门木马，MD5 精确匹配）
→ 解读：打开后门通道实现远程控制——下载执行文件、窃取数据、持久化驻留

亲自检测

复现本案例只需三条指令：下载会话导入工作区回放完整过程，或在你的 AVL Code 中按顺序粘贴以下指令（前提：已登录，网络可达 npm registry 与安天云端引擎）：

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话
› 帮我安装@antiylabs/avlsdk-lite-mcp这个mcp
› 检测这个文件是不是病毒 "<你的可疑文件路径>"
› 使用 avlsdk-lite-mcp 验证这个Hash <MD5> 是否是病毒
  • 第 1 步无需替换，照抄即可——安装检测能力包。
  • 第 2 步换成你本地真实存在的可疑文件路径，对应指令 scan_file（文件查毒）。
  • 第 3 步换成你手里的 MD5，对应指令 scan_hash（哈希查毒）。
  • 注意：安装落地时默认后端会被切到 avlsdk-lite，照第一章先检查 default_backend 并按需用 zMCP.admin.setDefaultBackend(name=…) 恢复。
  • 哈希核查的局限：会话中只有云端单一判定来源，重要结论建议再用 VirusTotal 等独立情报源交叉验证（会话中仅建议、未执行）。

下一个问题： 查到黑之后怎么办——如何把 scan_file / scan_hash 的判定结果（verdict、病毒名）与 MD5/SHA1/SHA256 哈希组接进告警工单与隔离处置流程？