全部案例
#002 · 样本分析
案例研究 · 样本分析
fast16 恶意代码深度分析
你是接到样本分析任务的分析员：样本只给 Hash、不能执行、报告要 HTML、最好连检测工具一起交。照本文三步做完，你手里会多出一份 22,313 字节的 HTML 分析报告、一套零依赖检测工具和 5 条 YARA 规则——全程样本零执行。
PE32 · 308KB（315,392 字节）· 总熵 5.88· 纯静态 · 零执行· 澜砥 N2.5· HTML 报告 22,313 字节· 零依赖检测工具 + 5 条 YARA
概览
- 01
静态定性 — 一份 CRITICAL 9.5/10 的完整定性
你把样本 SHA256 和"报告要 HTML"一句交给 AVL Code，零执行拿到 8 步攻击链还原与定性结论。
- 02
落盘报告 — 22,313 字节 HTML 可归档
你补一句"需保存为 HTML 文件"，报告从对话落进工作区，浏览器打开即读、可直接流转。
- 03
检测产出 — 零依赖工具 + 5 条 YARA
你再要一个本地检测工具，拿到经 23 条发现实测、0 误报验证的 fast16_detector/ 与规则。
向 AVL Code 发布任务
给我分析一下9a10e1faa86a5d39417cae44da5adf38824dfb9a16432e34df766aa1dc9e3525这个样本，分析报告的格式要HTML的哈前提：AVL Code 已登录；样本以文件形式放入工作区（本案例对外仅保留 Hash）；落盘文件需要可写工作区——只读模式下报告只能在对话中呈现
复现材料见文末 亲自检测 ↓
静态定性
任务布置只有一句话：给出 SHA256，说明报告要 HTML。不写分析计划、不搭环境，把约束一次说清，其余交给执行过程。复制下面这行，把哈希换成你的样本即可。
你输入 → AVL Code
给我分析一下9a10e1faa86a5d39417cae44da5adf38824dfb9a16432e34df766aa1dc9e3525这个样本，分析报告的格式要HTML的哈AVL Code 执行 → 你会看到
确认样本存在（315,392 字节）→ 基础分析：哈希验证 / PE 解析 / 熵分析 / 字符串提取 / IOC
→ 32 位 PE 控制台程序 · 总熵 5.88 未加壳 · 编译时间戳 2005（可疑，疑伪造）
→ 关键字符串：cmd.exe、服务控制 API、网络共享 API
→ 首轮提取多为反汇编碎片 → 直取 .rdata 段可读字符串，发现丰富
→ YARA 引擎不可用 → 用已收集数据完成定性，报告以 Markdown 呈现（当时只读模式，无法写文件）报告落盘
报告已在对话里，但要进归档、要流转，还差一个文件。追一句：
你输入 → AVL Code
需保存为 HTML 文件AVL Code 执行 → 你会看到
写入 report_9a10….html（22,313 字节）到工作区根目录
→ 验证文件已写入，浏览器打开即读
→ 附报告摘要：Win32 远控木马 / Lua 脚本引擎 / "fast16" 内核 Rootkit / 服务持久化 / 内网横向移动产出检测工具
第三项要求同样是一句话，分析成果不必止步于文档：
你输入 → AVL Code
给我做一个本地检测这个恶意样本的检测工具AVL Code 执行 → 你会得到
基于样本静态特征编写 fast16_detector/：scanner.py（导入表/字符串/熵/评分）+ cli.py + rules.yar（5 条规则）
→ 实测被沙箱策略拦截 → 复制样本到临时路径重测；熵计算 bug 定位后整文件重写修复
→ 复测：23 条发现 · severity=critical（内核驱动 Rootkit / 服务 API 集群 / 横向移动等分级列出）
→ 误报验证：正常文件 0 发现，samples/ 目录仅目标样本检出
→ 交付 HTML 输出（8,927 字节）+ YARA 规则语法验证通过亲自检测
下载会话导入工作区回放全程，或按顺序粘贴以下指令（把哈希与路径换成你的样本）；拿到工具后用它本地复检：
› 给我分析一下 <样本 SHA256> 这个样本，分析报告的格式要HTML的哈› 需保存为 HTML 文件› 给我做一个本地检测这个恶意样本的检测工具› python -m fast16_detector.cli <样本路径>› python -m fast16_detector.cli <待扫描目录> -o <输出报告>.html› yara64 fast16_detector/rules.yar <样本路径>- 拿到工具后，用上方三条复检命令在本地验证检测效果。
- 纯静态分析，样本零执行；建议在隔离工作区处理可疑样本。会话中样本扫描曾被沙箱策略拦截（samples/ 路径限制），工具实测改在临时路径完成。
下一个问题： 如何把 5 条 YARA 规则接入检测防线并跟踪命中率？