案例研究 · 样本分析
挖矿蠕虫（Miner-Worm）分析
一位处置蠕虫挖矿复合威胁的安全运营人员，把样本哈希与「起个名字、形成完整分析报告」的要求交给 AVL Code，在纯静态、零执行的约束下完成逆向定性，最终手里多出一份含 6 阶段杀伤链、完整 IOC、YARA 规则与主机/网络/全网三层处置方案的分析报告。
对象：804KB · 32 位 Windows GUI PE (x86)· 约束：纯静态 · 零执行· 模型：AVL Code（安天澜砥大模型）· 交付物：MD + HTML 分析报告 · YARA 规则 · 三层处置方案· 威胁等级：高危
概览
- 01
送检定性 — 一条指令命名「挖矿蠕虫 (Miner-Worm)」并判定高危
你把样本 SHA256 和命名、成报告的要求发给 AVL Code，看它解析 PE、多轮提取字符串与 IOC，直到复合威胁浮出水面。
- 02
行为拆解 — IPSec「蠕虫竞争」与门罗币挖矿进报告
同一条指令下，AVL Code 把散落在字符串、导入表、资源节里的线索组织成报告：端口封锁、矿池通信、组件释放、杀伤链与 YARA。
- 03
交付落盘 — MD 入库 + HTML 打印转 PDF
你指定保存路径并追加 PDF 需求，AVL Code 在沙箱路径与工具限制下完成 MD 写入，并给出同样能到达终点的 HTML 方案。
向 AVL Code 发布任务
帮我分析下这个样本 形成完整分析报告 9a008c505fa37e50a4c6f91f27a99c710442e250cb23886eb40f5d8ff721593a 起个名子 例如挖矿 勒索 蠕虫 等深度分析。前提：沙箱工作区已挂载待分析样本（会话中仅提供了 SHA256）；VT 情报源未配置不影响静态分析主流程；fs.write 仅接受工作区相对路径
复现材料见文末 亲自检测 ↓
送检定性
处置的第一步是命名与定级——你把哈希与要求一次说清：
帮我分析下这个样本 形成完整分析报告 9a008c505fa37e50a4c6f91f27a99c710442e250cb23886eb40f5d8ff721593a 起个名子 例如挖矿 勒索 蠕虫 等深度分析。PE 解析：804 KB · 32 位 Windows GUI PE (x86)
→ 多轮字符串提取与 IOC 抽取
→ 复合威胁浮出水面 → 命名"挖矿蠕虫 (Miner-Worm)" · 威胁等级高危行为拆解
散落在字符串、导入表、资源节里的线索被组织成完整报告：
（同一条指令持续驱动，未追加新输入）IPSec 策略封锁端口——蠕虫竞争清除竞品的手段
→ Monero 矿池通信（v9.monerov8.com）· 组件释放
→ 6 阶段杀伤链还原 · YARA 规则生成交付落盘
报告要落盘、还要能打印，沙箱限制下 AVL Code 给出可行路径：
好的 MD 文件存储下 存储到这里吧 <目标路径>
好的 能在给我形成一份 PDF 格式的报告吗fs.write 写入 MD（沙箱仅接受工作区相对路径）
→ 无 pandoc/python → 引导走浏览器：打开 HTML → Ctrl+P → 另存为 PDF亲自检测
在 AVL Code 会话里按同样顺序送检即可复现：先定性、再落盘、最后按需转 PDF。
帮我分析下这个样本 形成完整分析报告 <SHA256> 起个名子 例如挖矿 勒索 蠕虫 等深度分析。好的 MD 文件存储下 存储到这里吧 <目标路径>好的 能在给我形成一份 PDF 格式的报告吗- 第 1 步：送检定性（指令原文，<SHA256> 替换为你的样本哈希）。
- 第 2 步：报告落盘（<目标路径> 按需替换；注意 fs.write 仅接受工作区相对路径）。
- 第 3 步：需要 PDF 时——沙箱无 pandoc/python，按引导用浏览器打开 HTML → Ctrl+P → 另存为 PDF。
- 局限如实声明：会话导出未记录任务耗时（全部水印为同一导出时间）；VT 情报源未配置；样本未做动态执行验证，行为结论均来自静态证据；YARA 规则会话中未实际编译/扫描验证；「交付文件大小」一条的两个来源同出一会话，机制独立性有限。处置命令（如 netsh ipsec static delete policy name="20170621"）为报告建议，读者执行前应结合自身环境核对。
下一个问题： 报告在手，下一个任务顺理成章：用 SHA256 在全网查杀同哈希文件、删除 "20170621" IPSec 策略、对 103.246.218.189/247 与 v9.monerov8.com 落边界封禁——如何把这些动作变成一份全网排查工单？