案例研究 · 样本分析
tflower 勒索软件分析
你是接到勒索事件定性任务的应急响应工程师，手里只有一个未加壳的 64 位 tflower 勒索软件样本（对外仅交 Hash）。照本文做完，你手里会多出一份以样本哈希命名的 MD 全量分析报告：AES-256-CBC + RSA 混合加密定性、C2 与勒索信联系方式、完整 IOC 与处置建议，威胁等级判定严重（Critical）。
对象：1.37MB 未加壳 Windows PE32+（x64 控制台子系统）勒索软件· 约束：纯静态 · 样本零执行 · 对外交付仅 SHA256· 模型：AVL-Zero · 澜砥 N2.5· 过程：单轮指令 · 17 次工具调用（sec.strings×6 / sec.hexdump / memory.memorize / fs.write）· 交付：MD 全量分析报告（定性 / 加密机制 / IOC / 危害 / 处置建议）
概览
- 01
送检定性 — 六轮字符串挖出勒索软件全貌
你把样本 SHA256 和报告要求一句交给 AVL Code，看它从 PE 判型到字符串分区提取，把加密、C2、勒索信逐段挖出。
- 02
验证坐实 — 十六进制层复核 C2
关键数据不靠单次提取定论：sec.hexdump 回到字节层确认 C2 URL，关键发现经 memory.memorize 归档后才算数。
- 03
报告交付 — MD 报告直接归档
全量分析报告以样本 SHA256 命名落盘，定性、IOC、危害、处置建议一次成型，威胁等级判定严重（Critical）。
向 AVL Code 发布任务
6c75998580fb05c01b10f4703299ffd782bec55c8765c030b8a4760fff6045fe 帮我分析下这个样本 形成完整分析报告 危害 IOC 概述 标题 XXX 木马分析 形成MD报告前提：AVL Code 已登录；样本在工作区中可被工具访问（本案例对外仅保留 SHA256）
复现材料见文末 亲自检测 ↓
字符串提取
定性勒索事件的第一条纪律是不动样本。你把 SHA256 和报告要求一次说清，其余交给执行过程：
6c75998580fb05c01b10f4703299ffd782bec55c8765c030b8a4760fff6045fe 帮我分析下这个样本 形成完整分析报告 危害 IOC 概述 标题 XXX 木马分析 形成MD报告获取样本基本信息（首批 8 个工具调用）→ 判定 x64 PE 控制台程序
→ 连续 6 轮 sec.strings 分区提取 → 首轮即发现关键信息，扩大范围
→ 锁定 C2 通信与恶意行为字符串区域 → 定位 C2 URL、勒索信等关键数据验证与交付
字符串里看到的 URL 还要回到字节层确认——这是交报告前的最后一道自查。同一条指令持续驱动全程，你无需追加任何输入：
6c75998580fb05c01b10f4703299ffd782bec55c8765c030b8a4760fff6045fe 帮我分析下这个样本 形成完整分析报告 危害 IOC 概述 标题 XXX 木马分析 形成MD报告sec.hexdump 回到字节层确认 → C2 URL：https://www.adamaitalycup.it/wp-includes/wp-merge.php（被攻陷的意大利网站）
→ memory.memorize 归档 · fs.write 生成报告 6c759985….md
→ 报告摘要：AES-256-CBC + RSA 混合加密 · 联系邮箱 ×2 · 开发者标识 MinghuaQu（tflower）· Run 键启动项 · 删影/禁恢复/清回收站 · VS2017 + OpenSSL 静态编译
→ 危害等级：严重亲自检测
在 AVL Code 会话框里贴入下面一行（把哈希换成你的样本），其余交给执行过程：
<样本SHA256> 帮我分析下这个样本 形成完整分析报告 危害 IOC 概述 标题 XXX 木马分析 形成MD报告- 本会话为单轮指令：定性、验证、落盘全部由这一句驱动，导出中无追加输入。首批 8 个工具调用与各轮 sec.strings / sec.hexdump 的返回明细在导出 HTML 中被折叠，可下载 .zsession 或对照 report.pdf 还原；IOC 计数（4 个文件哈希等）与"HTTP(S) 上报受害主机名与加密状态"出自既有条目与报告 PDF，会话导出正文未逐项展开。
下一个问题： IOC 清单已到手，下一件事自然是把它变成拦得住的检测能力：封禁 C2 域名、全网排查 proxycap 启动项——然后追问一句：能不能给这套加密行为生成 YARA 规则，让检测线也认识它？