AVL Code
全部案例
#016 · 样本分析

案例研究 · 样本分析

CryptoLocker 勒索软件（Rapid/Djvu 变种）分析

你是接到勒索事件定性任务的应急响应工程师，手里只有一个 116KB 的 Win32 可执行样本。照本文两步做完，你会拿到一份 Critical 定级的 Markdown 分析报告：RSA-2048 离线加密机制还原、6 类恶意行为、完整 IOC 清单（4 个哈希 / 2 个勒索邮箱 / 20+ 终止进程）、一条 YARA 规则与应急响应方案。

PE32 · 116KB（116,736 字节）· 熵 6.45 未加壳· 纯静态 · 零执行· 澜砥 N2.5· Markdown 报告 12,224 字节· Critical

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告

概览

  1. 01

    静态定性 — 一份 Critical 级全链条勒索报告

    你只贴一个 SHA256 并要求"写个完整的分析报告、标题自拟"，PE 解析、加密机制还原、行为识别、家族归因、IOC 与 YARA 一气呵成。

  2. 02

    追问落盘 — 12,224 字节 Markdown 可归档

    你追问一句"MD文件呢 存了吗"，报告从对话落进工作区，文件名自带样本哈希前缀。

向 AVL Code 发布任务

cd58190be47ca6f416a3fa9c12a65eef70fbe80cfe8a0e098e9ef503b2e62377 帮我分析下这个样本  写个完整的分析报告 标题也根据家族和行为等 起个标题 例如 挖矿木马分析 勒索软件分析等

前提：AVL Code 已登录；样本以文件形式放入工作区（本案例对外仅保留 Hash）；报告落盘需要可写工作区

复现材料见文末 亲自检测 ↓

静态定性

任务布置只有一句话：贴上 SHA256，要求"写个完整的分析报告"，标题自拟。不指定分析框架、不给分析计划，过程由它自己递进：

你输入 → AVL Code 
cd58190be47ca6f416a3fa9c12a65eef70fbe80cfe8a0e098e9ef503b2e62377 帮我分析下这个样本  写个完整的分析报告 标题也根据家族和行为等 起个标题 例如 挖矿木马分析 勒索软件分析等
AVL Code 执行 → 你会看到
确认样本 → PE 解析：32 位 x86 GUI · 116,736 字节 · 熵 6.45 未加壳 · MSVC 编译
→ 提取字符串与 IOC，查询威胁情报——"非常关键的信息！"
→ 关键证据：内嵌 RSA-2048 公钥 · 注册表 Software\EncryptKeys · 加密扩展名 .cryptolocker
→ 勒索信与扩展名：!DECRYPT_FILES.txt / 勒索邮箱 ×2
→ 行为字符串：vssadmin 删影 · bcdedit 禁恢复 · 双计划任务 · 逐个 sc delete 杀软服务 · 20+ 进程名单
→ 归因 Rapid/Djvu 变种，自拟标题产出完整分析报告

报告落盘

报告已在对话里，但要进归档、要流转，还差一个文件——这最后一环是被你一句追问补上的：

你输入 → AVL Code 
MD文件呢 存了吗
AVL Code 执行 → 你会看到
确认状态："你说得对，报告还没存成文件。我马上保存"
→ 落盘 报告/CryptoLocker勒索软件分析报告_Rapid变种_cd58190b.md（12,224 字节）

亲自检测

下载会话导入工作区回放全程，或按顺序粘贴以下指令（把哈希换成你的样本）；报告落盘后核对文件：

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告 
› <样本 SHA256> 帮我分析下这个样本  写个完整的分析报告 标题也根据家族和行为等 起个标题 例如 挖矿木马分析 勒索软件分析等
› MD文件呢 存了吗
› Get-Content "报告/<报告文件名>.md"
  • 报告落盘后核对：用上方 Get-Content 命令查看 MD 文件内容。
  • 纯静态分析，样本零执行；建议在隔离工作区处理可疑样本，样本仅提供 Hash。本会话导出未含独立工具调用明细块，文中执行过程按会话执行叙述与报告正文整理；"报告已落盘"一条的两个证据同出本会话，属同源印证而非机制独立来源。

下一个问题： 如何把 YARA 规则与 Software\EncryptKeys 注册表、vssadmin 删影、Encrypter 计划任务的监控接入检测防线，并跟踪命中率？