AVL Code
全部案例
#021 · 样本分析

案例研究 · 样本分析

伪装 WinRAR 安装包的恶意加载器（Loader）分析

你是处置伪装安装包告警的运营人员，手里只有一个 SHA256，要求把整体释放逻辑讲清：EXE 释放的三组 BAT 各自干什么、又释放了什么、最终核心载荷是什么。照本文做完，你会拿到一份含攻击全景图、攻击链时间线、完整 IOC 清单与清除方案的分析报告，威胁等级判定极高危（Critical）。

PE32+ · x86-64 · Setup Factory 打包· 伪装 WinRAR · 资源段嵌完整安装包 · 熵值 7.93· 澜砥 N2.5· 完整分析报告 · 攻击全景图 + IOC 清单 + 检测清除方案· 威胁等级极高危（Critical）

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告

概览

  1. 01

    送检定性 — Setup Factory 伪装闭环现形

    你把 SHA256 连同"完整分析报告 + 释放逻辑清晰化"的要求一句话交给 AVL Code，先拿到样本定性：伪装成 winrar-x64-700.exe 的 PE32+ 加载器，资源段里嵌着真 WinRAR 安装包。

  2. 02

    释放链还原 — 三组 BAT 与双层计划任务逐层展开

    报告按你点名的三组 BAT 逐个给出大小、落地路径与执行逻辑原文，双层计划任务持久化链（开机触发 + 每 5 分钟保活）与 hosts 文件 4 条劫持记录全部落表。

  3. 03

    载荷定性与交付 — a.ps1 后门 + 完整 IOC + 清除方案

    最终载荷 a.ps1 的四模块架构、5 秒轮询与 UID 绑定被还原，IOC 成表并附检测规则与清除步骤；你追一句存 MD，交付环节如实记录了一次接口超时。

向 AVL Code 发布任务

02b6cecf0dedfaab4e8491345ad99f125a802257f3c1e28f66f65491f1584004 帮我形成 完整分析报告 包括整体释放逻辑  这个逻辑在清晰化一些， 例如样本EXE释放三组BAT 每个BAT核心功能 。又释放的什么 最终 核心载荷是什么

前提：AVL Code 已登录；样本以 Hash 形式提供（本案例对外仅提供 Hash）；会话导出中本轮"思考 8 次 · 19 个工具调用"被折叠为紧凑行，工具调用轨迹无法逐条复盘

复现材料见文末 亲自检测 ↓

样本定性

任务布置只有一句话——给 Hash、要完整分析报告、点名要求把释放逻辑讲清。不写分析提纲、不搭沙箱，接下来看它怎么从这条指令走到定性结论：

你输入 → AVL Code 
02b6cecf0dedfaab4e8491345ad99f125a802257f3c1e28f66f65491f1584004 帮我形成 完整分析报告 包括整体释放逻辑  这个逻辑在清晰化一些， 例如样本EXE释放三组BAT 每个BAT核心功能 。又释放的什么 最终 核心载荷是什么
AVL Code 执行 → 你会看到
加载分析工具，本轮 19 个工具调用完成全景
→ 基础信息：winrar-x64-700.exe · PE32+ · Setup Factory 打包
→ 资源段内嵌完整 WinRAR 安装包 · 整体熵 7.93（含加密/压缩载荷）
→ 攻击全景：样本 EXE → once.bat → connectionupdate2.bat → connectionupdate.bat → a.ps1 五层递进
→ 威胁等级：极高危

释放链还原

主指令里被点名的正是这一段（原文照录）：

你输入 → AVL Code 
例如样本EXE释放三组BAT 每个BAT核心功能 。又释放的什么 最终 核心载荷是什么
AVL Code 执行 → 你会看到
逐个 BAT 还原（大小 / 落地路径 / 执行逻辑）：
→ once.bat：建计划任务（SYSTEM · 开机触发 · 最高权限）→ 立即触发一次 → 自删除
→ connectionupdate2.bat：每 5 分钟触发下一级任务
→ connectionupdate.bat 三连击：Defender 排除 System32 → hosts 追加 4 条域名解析 → 下载 a.ps1 内存执行
→ 混淆：Base64 编码 + 字符串替换
→ 完整攻击链时间线 T+0s → T+20s

最终载荷

"最终 核心载荷是什么"这个问题，报告用了一整章回答：

你输入 → AVL Code 
又释放的什么 最终 核心载荷是什么
AVL Code 执行 → 你会看到
a.ps1 四模块架构：UID 管理（注册表 + 文件双备份）/ C2 通信（每 5 秒轮询 get-command.php）/ 命令执行引擎（直接执行下发 PowerShell）/ 反检测（SessionId 检查 + Defender 排除二次确认）
→ 下载源：157.173.104.143（主）· issue.homes（备，经 hosts 劫持）
→ IOC：5 文件哈希 · 2 C2 地址 · 4 被劫持域名 · 2 计划任务名 · 2 注册表路径
→ 检测规则 5 条 + 清除步骤 6 步（杀进程 → 删任务 → 删 BAT → 删 UID 存储 → 恢复 hosts → 撤销排除）

交付确认

报告已在会话中完整生成，你追一句确认落盘——这一步没有按预期走完：

你输入 → AVL Code 
好的MD文件 存储下哦
AVL Code 执行 → 你会看到
[Error: llm stream call failed: after 5 attempts: http request: Post "https://zapi.avlcode.cn/v1/delta": net/http: timeout awaiting response headers]
→ 重试 5 次全部超时
→ 随后一条"(本条无文本回复)"
→ 会话导出中没有 MD 落盘成功的确认记录

亲自检测

在 AVL Code 里复现这个任务只需要两条消息——把 Hash 换成你手里样本的 SHA256，释放逻辑的具体要求可按需改写：

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告 
1) 主指令（原文）：
02b6cecf0dedfaab4e8491345ad99f125a802257f3c1e28f66f65491f1584004 帮我形成 完整分析报告 包括整体释放逻辑  这个逻辑在清晰化一些， 例如样本EXE释放三组BAT 每个BAT核心功能 。又释放的什么 最终 核心载荷是什么
2) 交付确认（原文）：
好的MD文件 存储下哦
  • 本案例的诚实边界：会话导出中本轮"思考 8 次 · 19 个工具调用"被折叠为紧凑行，工具调用轨迹无法逐条复盘，duo 右栏内容均取自会话中真实可见的文本与报告章节；第二条指令后模型接口超时（5 次重试），MD 落盘是否成功在会话中无确认记录；"约 3 分钟"耗时仅见于既有条目，会话水印均为同一时刻，无法独立验证；验证表来源 A/B 分别是会话报告与既有条目，但后者亦由同一会话产出，机制独立性有限，特此声明。

下一个问题： 把两个计划任务名与 HKLM\Software\Wireless\uid 落进检测规则，再用捕获到的 a.ps1 通信流量验证 5 秒轮询间隔与 UID 上报格式。