案例研究 · 样本分析
TheGentlemen 勒索软件（Go 语言双重勒索变种）分析
应急响应工程师处置域环境勒索事件，拿到一个 Go 语言编写、未加壳的 TheGentlemen 勒索软件 Windows x64 变种，约束是纯静态零执行；最终手里多出家族定性结论、完整攻击链与 IOC 清单，以及 MD、安天CERT公众号 HTML、打印版 HTML 三份可直接进发布流程的交付物。
4.02MB（4,217,344 字节）· Go · PE32+ x64 控制台· 纯静态 · 沙箱零执行· 模型：澜砥 N2.5（AVL-Zero）· 交付物：MD 报告 + 公众号 HTML + 打印版 HTML· 耗时：约 7 分钟
概览
- 01
静态定性 — TheGentlemen 家族判定
你把样本哈希交给 AVL Code：它解析 PE、识破"加壳疑云"、从勒索信原文改判定性，给出双重勒索家族与威胁等级。
- 02
攻击链还原 — IOC 清单与双报告
你等它沿字符串把 PowerShell/GPO/SYSVOL/PsExec 传播链与对抗能力挖穿，拿到详细 MD 报告和公众号风格 HTML 两份交付物。
- 03
交付收尾 — 打印版与 PDF 路径
你追问能不能转 PDF：它逐条探明沙箱边界、从旧 PDF 元数据找到主机 Edge 打印这条既有路径，交付打印优化版 HTML。
向 AVL Code 发布任务
88e824ea42dc271f4992957584b57d64 帮我形成下这个样本的分析报告 以及安天CERT公众号风格的 HTML报告 和MD 文件静态定性
定性从 PE 与勒索信原文开始，不预设立场：
88e824ea42dc271f4992957584b57d64 帮我形成下这个样本的分析报告 以及安天CERT公众号风格的 HTML报告 和MD 文件PE 解析：4.02MB · Go · PE32+ x64 控制台 · 未加壳
→ "加壳疑云"识破 → 回到勒索信原文改判定性
→ TheGentlemen 双重勒索家族 · 威胁等级极高危（Critical）攻击链还原
沿字符串把传播链与对抗能力挖穿，两份报告同步成型：
（同一条指令持续驱动，未追加新输入）内嵌 PowerShell 自动安装 RSAT/GPMC · 枚举域内主机 · GPO 计划任务投放 SYSVOL scripts · 内嵌 PsExec 源码横向移动
→ AMSI 绕过 · 进程注入（CreateRemoteThread/NtQueueApcThreadEx）· 清除安全日志 · 终止数据库/备份服务
→ IOC 清单：3 哈希 · 8 网络指标 · 10 文件路径 · 4 注册表路径
→ 交付详细 MD 报告 + 安天CERT公众号风格 HTML交付收尾
能不能转 PDF？沙箱边界逐条探明后，给出一条既有路径：
好的 HTML文件 是否可以在 转成PDF的沙箱无 pandoc/python → 逐条探明边界
→ 从旧 PDF 元数据找到主机 Edge 打印这条既有路径
→ 交付打印优化版 HTML（浏览器 Ctrl+P 即可出 PDF）亲自检测
在装有 AVL Code 的工作区放好样本（工作区 samples/ 目录），把下面的占位符换成你的样本哈希与目标风格，即可复现全流程。
<样本MD5> 帮我形成下这个样本的分析报告 以及<目标风格>公众号风格的 HTML报告 和MD 文件好的 HTML文件 是否可以在 转成PDF的- 第 1 步：纯静态定性 + 双格式报告（样本置于工作区 samples/ 目录）。
- 第 2 步：需要 PDF 归档时——上方第二条指令。
- 局限一：会话导出时间戳统一为导出时刻，无法从会话本身独立验证"约 7 分钟"耗时，该数字取自既有条目。
- 局限二：IOC 计数（3 哈希 / 8 网络指标 / 10 文件路径 / 4 注册表路径）的完整逐项清单以交付报告 report.pdf 为准，会话正文仅展示哈希、网络指标与部分路径/注册表项，复现时请以你环境中的实际提取结果为准。
下一个问题： 报告交付后，下一步自然是处置：把 8 个网络指标与 4 条注册表 Run 键落成域控和 EDR 的批量排查/封禁规则，并核查域内 GPO 对象与 SYSVOL scripts 目录是否已被投放——要不要让 AVL Code 把这份 IOC 清单直接转成检测规则？