案例研究 · 樣本分析
惡意載入器（cspsvc.exe）分析
你是處理 Windows 服務可疑告警的維運人員，手裡只有一個樣本雜湊和兩項要求：出詳細分析報告、存成 MD 檔案。照本文做完，你會拿到一份 7.5KB、10 章節的 Markdown 分析報告——.NET 服務載入器定性、完整 IOC、檢測清除方案、四維風險評估，以及一條誠實邊界：第二階段指令碼 cspsvc.ps1 未隨樣本提供，只列為需進一步擷取的對象。
PE32 · .NET · 6,656 位元組（約 6.5KB）· 純靜態 · 樣本未執行· 瀾砥 N2.5· Markdown 報告 7.5KB · 10 章節· IOC + 檢測清除方案 + 四維風險評估
會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型
概覽
- 01
靜態定性 — 6.5KB .NET Windows 服務載入器現形
你把樣本 SHA256 和兩項要求一句話交給 AVL Code，純靜態讀完樣本，還原服務啟停時載入外部 PowerShell 指令碼的多階段架構。
- 02
報告存檔 — 7.5KB Markdown 十章節可歸檔
你追一句確認交付，拿到已寫入工作區的 Markdown 報告：IOC、檢測清除方案、四維風險評估俱全，二階段指令碼如實標註為待擷取對象。
向 AVL Code 發布任務
c765ba5eedcd87b6f98eb503df640f5a8b077d3a30f02c6019feec1b5a553981 幫我分析這個程式 寫個詳細的分析報告 存儲下 MD檔案前提：AVL Code 已登入；樣本以檔案形式放入工作區（本案例對外僅提供雜湊）；落盤檔案需要可寫工作區——會話中 VirusTotal 查詢因未配置未回傳結果，定性完全基於樣本靜態內容
復現材料見文末 親自檢測 ↓
靜態定性
任務佈置只有一句話——給雜湊、要詳細分析報告、存成 MD 檔案。不寫分析計畫、不搭環境，接下來看它怎麼從這條指令走到定性結論：
c765ba5eedcd87b6f98eb503df640f5a8b077d3a30f02c6019feec1b5a553981 幫我分析這個程式 寫個詳細的分析報告 存儲下 MD檔案確認樣本存在（6,656 位元組）
→ 路徑含特殊字元連環受阻：fs.list 解析失敗 / sec.* 工具受限 / 命令列複製受限 → 最終 fs.read 全量讀取 + Python 分析
→ 檔案頭：MZ + BSJB → .NET 組件（CIL）
→ 關鍵字串：cspsvc.exe · .NET 2.0 · PDB 路徑 System32\drivers\cspsvc.pdb · 匯入 SetServiceStatus
→ 服務啟停命令原文：PowerShell -ExecutionPolicy Bypass 調 cspsvc.ps1 -SCMStart / -SCMStop
→ VT 未配置 → 用已提取資訊完成定性報告交付
報告在第一輪指令內已經生成，你追一句確認，同時拿到完整交付清單：
分析完成了嗎 形成分析報告fs.read 回讀確認報告完整 → 交付 樣本分析報告_cspsvc_20260729.md（7.5KB，10 章節）
→ 核心結論：cspsvc.exe 是偽裝在 System32\drivers\ 的 .NET 服務木馬/載入器——服務持久化 + Bypass 載入外部指令碼，屬多階段攻擊第一階段
→ 風險提示：實際 payload 在 cspsvc.ps1，未隨樣本提供；二階段行為按載入器設計模式標註「可能」，不做超出證據的推測親自檢測
在 AVL Code 裡重現這個任務只需要兩條訊息——把雜湊換成你手裡樣本的 SHA256，報告要求可按需改寫：
1) 主指令（原文）：c765ba5eedcd87b6f98eb503df640f5a8b077d3a30f02c6019feec1b5a553981 幫我分析這個程式 寫個詳細的分析報告 存儲下 MD檔案2) 交付確認（原文）：分析完成了嗎 形成分析報告- 本案例的誠實邊界：PowerShell 指令碼 cspsvc.ps1 未隨樣本提供，第二階段行為在會話與報告中均只按載入器設計模式標註「可能」，未做超出證據的推測；驗證表第 4 條的兩個來源同出於本次會話匯出（報告由該會話生成），不構成機制獨立的雙源驗證，特此聲明。會話中 VirusTotal 查詢因未配置未回傳結果，定性無雲端判定佐證。
下一個問題： 擷取到 cspsvc.ps1 之後，用同樣一條指令把它送進分析流水線，補全第二階段攻擊鏈與完整 IOC。