AVL Code
全部案例
#024 · 病毒檢測

案例研究 · 病毒檢測

基於 avlsdk-lite-mcp 的檔案與雜湊病毒檢測

安全維運人員在 AVL Code 裡一句話接入安天查毒 MCP（avlsdk-lite-mcp），順手修復安裝帶來的預設後端切換並用真實樣本驗證安裝，隨後對 902,656 位元組的可疑「啟動工具」完成零執行判黑與加殼證據鏈分析，再核查一個僅憑 MD5 的雜湊線索——三次對話，判定、歸因、處置建議全部到手。

avlsdk-lite-mcp 1.1.3（發佈 2 週）· Windows / Linux· npm 套件（stdio，npx -y 啟動）· 樣本 902,656 位元組 · 零執行· 3 條使用者指令

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話

會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型

概覽

  1. 01

    接入查毒能力 — 裝好、糾偏、實彈驗證

    你只說一句話：AVL Code 確認套件來源、探活工具、dry_run 預覽後落地安裝；發現預設後端被切走後恢復為 zworkspace，並用一次真實掃描收尾驗證。

  2. 02

    初判可疑檔案 — 判黑 + 加殼證據鏈

    你把可疑路徑交給 AVL Code：scan_file 送安天雲端判黑 KMSAuto，PE 解析、熵分析、字串與 IOC 提取本地佐證，三組雜湊與處置建議一併交付。

  3. 03

    核查情報雜湊 — 沒有檔案本體也能定性

    你給一段 MD5：scan_hash 精確匹配命中雲端病毒庫，定性 Lotok 後門家族，給出排查建議並提示可交叉驗證。

向 AVL Code 發布任務

幫我安裝@antiylabs/avlsdk-lite-mcp這個mcp

前提：AVL Code 已登入，網路可達 npm registry 與安天雲端引擎（該套件引擎與病毒庫隨套件分發，惡意判定來自安天雲端）

復現材料見文末 親自檢測 ↓

接入查毒能力

裝一個陌生的 MCP，風險不在「裝不上」，而在「裝了什麼、改了什麼」。AVL Code 的做法是先弄清套件的來歷，再探活，最後才落地——每一步都先把風險說在前頭：

你輸入 → AVL Code 
幫我安裝@antiylabs/avlsdk-lite-mcp這個mcp
AVL Code 執行 → 你會看到
npm view 確認套件資訊
→ @antiylabs/avlsdk-lite-mcp@1.1.3（安天官方，stdio 型，引擎與病毒庫隨套件分發）
→ head/where 在 Windows 不可用、node 不在預設允許名單 → 改走 npx 方式
mcp.test_server 一次性探活 → 啟動成功，暴露 2 個工具：scan_file / scan_hash
mcp.add_server dry_run 預覽 → 確認 → 落地：name avlsdk-lite · 狀態 connected
⚠ 落地後 default_backend 被切為 avlsdk-lite（原預設 zworkspace）
→ zMCP.admin.setDefaultBackend(name=zworkspace) 恢復預設後端
avlsdk-lite.scan_file(工作區 小馬激活工具.exe) → black · HackTool/Win32.KMSAuto → 安裝驗證通過

可疑檔案初判

上一章的驗證掃描已經給這個檔案掛上「惡意」標籤，你隨即給出它的正式路徑，要求一次完整檢測。AVL Code 沒有重複「引擎說是」，而是補了一整條本地靜態證據鏈——全程不執行樣本：

你輸入 → AVL Code 
檢測這個檔案是不是病毒 "E:\tmp\test_avlsdk_mcp\小馬激活工具.exe"
AVL Code 執行 → 你會看到
avlsdk-lite.scan_file(E:\tmp\…\小馬激活工具.exe)
→ verdict: black · 病毒名 HackTool/Win32.KMSAuto（駭客工具）
→ 三組雜湊（MD5/SHA1/SHA256）全出，可直接進情報比對
→ 本地靜態佐證：異常節區 OEM0/OEM1 + 虛擬空間擴展（加殼跡象）· 整體熵 7.87 · 無標準匯入表
→ IOC 提取：www.pccppc.com 等可疑網域線索

情報雜湊核查

研判場景裡更常見的是手裡根本沒有檔案：一段來自告警或情報推送的 32 位元雜湊，就需要一個「是/否」的答案。這個業務時刻只需要一句話：

你輸入 → AVL Code 
使用 avlsdk-lite-mcp 驗證這個Hash 1ab73824134aea10da876e76690ae6e1 是否是病毒
AVL Code 執行 → 你會看到
avlsdk-lite.scan_hash(md5=1ab73824…)
→ verdict: black（雲端已收錄該樣本，結論可信）
→ 病毒名: Trojan/Win32.Lotok[Backdoor]（後門木馬，MD5 精確匹配）
→ 解讀：開啟後門通道實現遠端控制——下載執行檔案、竊取資料、持久化駐留

親自檢測

重現本案例只需三條指令：下載會話匯入工作區回放完整過程，或在你的 AVL Code 中按順序貼上以下指令（前提：已登入，網路可達 npm registry 與安天雲端引擎）：

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話
› 幫我安裝@antiylabs/avlsdk-lite-mcp這個mcp
› 檢測這個檔案是不是病毒 "<你的可疑檔案路徑>"
› 使用 avlsdk-lite-mcp 驗證這個Hash <MD5> 是否是病毒
  • 第 1 步無需替換，照抄即可——安裝檢測能力套件。
  • 第 2 步換成你本地真實存在的可疑檔案路徑，對應指令 scan_file（檔案查毒）。
  • 第 3 步換成你手裡的 MD5，對應指令 scan_hash（雜湊查毒）。
  • 注意：安裝落地時預設後端會被切到 avlsdk-lite，照第一章先檢查 default_backend 並按需用 zMCP.admin.setDefaultBackend(name=…) 恢復。
  • 雜湊核查的局限：會話中只有雲端單一判定來源，重要結論建議再用 VirusTotal 等獨立情報源交叉驗證（會話中僅建議、未執行）。

下一個問題： 查到黑之後怎麼辦——如何把 scan_file / scan_hash 的判定結果（verdict、病毒名）與 MD5/SHA1/SHA256 雜湊組接進告警工單與隔離處置流程？