AVL Code
全部案例
#014 · 样本分析

案例研究 · 样本分析

Yayaya 挖矿木马与内核 Rootkit 深度分析

安全运营人员把一条仅有 MD5 的挖矿木马线索交给 AVL Code，一句自然语言指令按预设计划拆出静态特征、动态行为、威胁关联三路子 Agent 并行深挖，约 10 分钟拿到判定 Critical 的完整分析报告——18,801 字节 Bash 部署脚本背后的 Diamorphine 变种 Rootkit、三级内核隐藏、6 级备用 C2 与全面反取证手段全部入册。

AVL Code · 澜砥 N2.5（AVL-Zero 提供）· Linux · 18,801 字节 Bash 部署脚本（仅凭 MD5 接单）· 静态 / 动态 / 威胁关联 三路子 Agent 并行· IOC 3 域名 · 1 C2 IP · 9 竞品清理 IP 段 · 16 条文件路径 · 18 项 ATT&CK· 约 10 分钟 · 威胁等级 Critical

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告

概览

  1. 01

    接单初探 — 18,801 字节明文脚本露出四段恶意部署环节

    你把一个只有 MD5 的哈希线索交给 AVL Code：定位样本、探测类型与熵值、提取全部字符串与 IOC，通读全文后恶意骨架（清竞品 / 替换 iptables / 装 LKM Rootkit / 下载 Payload）浮出水面。

  2. 02

    三路并行 — 子 Agent 分头深挖，威胁情报不通也不停工

    AVL Code 按你指令里写好的计划派出静态、动态、威胁关联三个子 Agent 并行分析；威胁情报查询不可用时改用已掌握信息继续，不让任务卡死。

  3. 03

    汇总交付 — Critical 定性 + 五项关键发现入册

    三路结果汇成核心结论表与关键发现清单，报告写入 报告_<MD5>.md：Diamorphine 变种 Rootkit、三级隐藏、6 级备用 C2、竞品清除与反取证手段全部落档。

向 AVL Code 发布任务

分析哈希值为52952154ab2f34686e295f3177d15d07的文件，形成包含威胁检测、行为特征、静态属性的完整安全分析报告
计划:① 先规划拆成三个子任务：静态特征提取（文件类型、编译信息、导入表等）、动态行为模拟（API调用序列、网络行为、文件操作）、威胁指标关联（查沙箱/威胁情报库、匹配已知签名） → ② 派3个子Agent并行执行：子Agent1做静态分析，子Agent2做动态分析，子Agent3做威胁关联 → ③ 汇总三个子Agent的结果，生成结构化的分析报告交你验收

前提：工作区中已放置样本文件 samples/<MD5>；AVL Code 已登录。会话中威胁情报查询当时不可用，复现时该通道可用与否不影响主流程

复现材料见文末 亲自检测 ↓

样本初探

处置挖矿告警的第一问永远是"它是什么、怎么进来的"。你把哈希和预设计划一次性交给 AVL Code，它先不急着派 Agent，而是把样本看透：

你输入 → AVL Code 
分析哈希值为52952154ab2f34686e295f3177d15d07的文件，形成包含威胁检测、行为特征、静态属性的完整安全分析报告
计划:① 先规划拆成三个子任务：静态特征提取（文件类型、编译信息、导入表等）、动态行为模拟（API调用序列、网络行为、文件操作）、威胁指标关联（查沙箱/威胁情报库、匹配已知签名） → ② 派3个子Agent并行执行：子Agent1做静态分析，子Agent2做动态分析，子Agent3做威胁关联 → ③ 汇总三个子Agent的结果，生成结构化的分析报告交你验收
AVL Code 执行 → 你会看到
按哈希定位样本（18,801 字节）→ 初步探测：Bash 脚本 · 熵约 5.0
→ 字符串初见"删除 XMRig 矿工相关文件"
→ 提取全部字符串与 IOC，读取脚本全文
→ 恶意骨架定型：清除 XMRig 痕迹 → 替换 iptables → 编译安装 LKM Rootkit → 下载执行 Payload

三路并行

指令里的计划 ② 到了兑现的时刻。AVL Code 先试图补上独立情报佐证，碰壁后没有原地重试：

你输入 → AVL Code 
② 派3个子Agent并行执行：子Agent1做静态分析，子Agent2做动态分析，子Agent3做威胁关联
AVL Code 执行 → 你会看到
先查威胁情报 → 查询不可用 → 降级继续，不中断
→ 派 3 个子 Agent 并行分析：静态分析 / 动态分析 / 威胁关联
→ 三路分析完成

汇总交付

三路结果在计划 ③ 的汇合点碰头，你验收的是一份可以直接进工单的报告：

你输入 → AVL Code 
③ 汇总三个子Agent的结果，生成结构化的分析报告交你验收
AVL Code 执行 → 你会看到
汇总三路结果 → 写入 报告_5295….md
→ 核心结论：威胁等级 严重（Critical）· Linux 多阶段加载器 + LKM Rootkit + 矿工部署器
→ Rootkit：Diamorphine 变种 · 最终载荷 XMRig 门罗币矿工 · 内核兼容 2.6.x ~ 5.7+
→ 关键发现：劫持系统调用使进程/文件/模块完全不可见 · 3 个信号后门（含提权）· 6 级下载备用机制 · 清理竞品矿工 · 全面反取证

亲自检测

复现本案例只需一条指令：下载会话导入工作区回放完整过程，或在你的 AVL Code 中粘贴以下指令（把占位符换成你手里的哈希，样本文件放在 samples/<MD5> 下）：

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告 
› 分析哈希值为<样本MD5>的文件，形成包含威胁检测、行为特征、静态属性的完整安全分析报告
  计划:① 先规划拆成三个子任务：静态特征提取、动态行为模拟、威胁指标关联 → ② 派3个子Agent并行执行 → ③ 汇总三个子Agent的结果，生成结构化的分析报告交你验收
  • 计划三步可以照抄，也可以只给第一句让 AVL Code 自行规划——本案例的价值之一在于指令自带分工计划。会话中威胁情报查询当时不可用，"威胁关联"一路降级为主 Agent 已掌握的信息；复现时若该通道可用，可补一路独立情报佐证。IOC 明细（3 域名 / 1 C2 IP / 9 IP 段 / 16 文件路径）与 YARA 规则明文以案例报告 PDF 为准。

下一个问题： 报告到手之后怎么落地——如何把 9 个竞品清理 IP 段、16 条文件路径和 YARA 规则转成主机排查清单与 IDS/EDR 检测条目，并对已中招机器做内核模块级清除？