全部案例
#016 · 樣本分析
案例研究 · 樣本分析
CryptoLocker 勒索軟體（Rapid/Djvu 變種）分析
你是接到勒索事件定性任務的應急回應工程師，手裡只有一個 116KB 的 Win32 可執行樣本。照本文兩步做完，你會拿到一份 Critical 定級的 Markdown 分析報告：RSA-2048 離線加密機制還原、6 類惡意行為、完整 IOC 清單（4 個雜湊 / 2 個勒索信箱 / 20+ 終止程序）、一條 YARA 規則與應急回應方案。
PE32 · 116KB（116,736 位元組）· 熵 6.45 未加殼· 純靜態 · 零執行· 瀾砥 N2.5· Markdown 報告 12,224 位元組· Critical
會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型
概覽
- 01
靜態定性 — 一份 Critical 級全鏈條勒索報告
你只貼一個 SHA256 並要求「寫個完整的分析報告、標題自擬」，PE 解析、加密機制還原、行為識別、家族歸因、IOC 與 YARA 一氣呵成。
- 02
追問落盤 — 12,224 位元組 Markdown 可歸檔
你追問一句「MD文件呢 存了嗎」，報告從對話落進工作區，檔名自帶樣本雜湊前綴。
向 AVL Code 發布任務
cd58190be47ca6f416a3fa9c12a65eef70fbe80cfe8a0e098e9ef503b2e62377 幫我分析下這個樣本 寫個完整的分析報告 標題也根據家族和行為等 起個標題 例如 挖礦木馬分析 勒索軟體分析等前提：AVL Code 已登入；樣本以檔案形式放入工作區（本案例對外僅保留雜湊）；報告落盤需要可寫工作區
復現材料見文末 親自檢測 ↓
靜態定性
任務佈置只有一句話：貼上 SHA256，要求「寫個完整的分析報告」，標題自擬。不指定分析框架、不給分析計畫，過程由它自己遞進：
你輸入 → AVL Code
cd58190be47ca6f416a3fa9c12a65eef70fbe80cfe8a0e098e9ef503b2e62377 幫我分析下這個樣本 寫個完整的分析報告 標題也根據家族和行為等 起個標題 例如 挖礦木馬分析 勒索軟體分析等AVL Code 執行 → 你會看到
確認樣本 → PE 解析：32 位元 x86 GUI · 116,736 位元組 · 熵 6.45 未加殼 · MSVC 編譯
→ 提取字串與 IOC，查詢威脅情報——「非常關鍵的資訊！」
→ 關鍵證據：內嵌 RSA-2048 公鑰 · 登錄檔 Software\EncryptKeys · 加密副檔名 .cryptolocker
→ 勒索信與副檔名：!DECRYPT_FILES.txt / 勒索信箱 ×2
→ 行為字串：vssadmin 刪影 · bcdedit 禁還原 · 雙排程工作 · 逐個 sc delete 防毒軟體服務 · 20+ 程序名單
→ 歸因 Rapid/Djvu 變種，自擬標題產出完整分析報告報告存檔
報告已在對話裡，但要進歸檔、要流轉，還差一個檔案——這最後一環是被你一句追問補上的：
你輸入 → AVL Code
MD文件呢 存了嗎AVL Code 執行 → 你會看到
確認狀態：「你說得對，報告還沒存成檔案。我馬上保存」
→ 落盤 報告/CryptoLocker勒索軟體分析報告_Rapid變種_cd58190b.md（12,224 位元組）親自檢測
下載會話匯入工作區回放全程，或按順序貼上以下指令（把雜湊換成你的樣本）；報告落盤後核對檔案：
› <樣本 SHA256> 幫我分析下這個樣本 寫個完整的分析報告 標題也根據家族和行為等 起個標題 例如 挖礦木馬分析 勒索軟體分析等› MD文件呢 存了嗎› Get-Content "報告/<報告檔名>.md"- 報告落盤後核對：用上方 Get-Content 命令查看 MD 檔案內容。
- 純靜態分析，樣本零執行；建議在隔離工作區處理可疑樣本，樣本僅提供雜湊。本會話匯出未含獨立工具呼叫明細塊，文中執行過程按會話執行敘述與報告正文整理；「報告已落盤」一條的兩個證據同出本會話，屬同源印證而非機制獨立來源。
下一個問題： 如何把 YARA 規則與 Software\EncryptKeys 登錄檔、vssadmin 刪影、Encrypter 排程工作的監控接入檢測防線，並追蹤命中率？