#018 · 樣本分析

惡意載入器（cspsvc.exe）分析

為深度分析惡意載入器威脅，分析人員基於 AVL Code 使用一句自然語言指令，實現從惡意樣本上傳到完整分析報告的全流程智慧閉環。

生成依據：AVL Code + 瀾砥大模型

惡意載入器.NETWindows 服務PowerShell持久化

案例概述

針對一個僅 6.5KB、偽裝成系統服務的 .NET Windows 服務程式 cspsvc.exe，分析人員用一句自然語言指令驅動 AVL Code，完成 .NET 組件與行為深度逆向：識別其透過 Windows 服務框架持久化、以 -ExecutionPolicy Bypass 繞過執行原則、在服務啟停時載入外部 PowerShell 指令碼 cspsvc.ps1 的多階段惡意軟體架構。由於該 PowerShell 指令碼未隨樣本一同提供，報告明確將其列為需進一步擷取的對象，未對指令碼的具體行為做超出樣本證據的推測，產出含完整 IOC 清單、檢測清除方案與風險等級評估的分析報告。

核心成果

• 完整逆向 6.5KB .NET Windows 服務程式，還原其偽裝系統服務、載入外部 PowerShell 指令碼的多階段惡意軟體架構
• 識別 Windows 服務持久化機制與 -ExecutionPolicy Bypass 執行原則繞過技術，擷取服務名稱、關聯指令碼路徑等完整 IOC
• 明確標註該樣本僅為第一階段載入器，實際惡意行為由未隨樣本提供的外部 PowerShell 指令碼 cspsvc.ps1 決定，未做超出證據的行為推測
• 生成檢測與清除方案，完成隱蔽性 / 持久化 / 載荷能力 / 檢測難度四維風險等級評估

技術亮點

落地價值

幫助安全維運團隊快速識別與回應惡意載入器威脅，提供從檢測到清除的完整指導方案，提升對無檔案攻擊與多階段惡意軟體的檢測與處置能力，有效保護 Windows 伺服器安全。

相關產物

會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型