案例研究 · 樣本分析
挖礦蠕蟲（Miner-Worm）分析
一位處置蠕蟲挖礦複合威脅的安全維運人員，把樣本雜湊與「起個名字、形成完整分析報告」的要求交給 AVL Code，在純靜態、零執行的約束下完成逆向定性，最終手裡多出一份含 6 階段殺傷鏈、完整 IOC、YARA 規則與主機/網路/全網三層處置方案的分析報告。
對象：804KB · 32 位元 Windows GUI PE (x86)· 約束：純靜態 · 零執行· 模型：AVL Code（安天瀾砥大模型）· 交付物：MD + HTML 分析報告 · YARA 規則 · 三層處置方案· 威脅等級：高危
會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型
概覽
- 01
送檢定性 — 一條指令命名「挖礦蠕蟲 (Miner-Worm)」並判定高危
你把樣本 SHA256 和命名、成報告的要求發給 AVL Code，看它解析 PE、多輪提取字串與 IOC，直到複合威脅浮出水面。
- 02
行為拆解 — IPSec「蠕蟲競爭」與門羅幣挖礦進報告
同一條指令下，AVL Code 把散落在字串、匯入表、資源節裡的線索組織成報告：連接埠封鎖、礦池通訊、元件釋放、殺傷鏈與 YARA。
- 03
交付落盤 — MD 入庫 + HTML 列印轉 PDF
你指定保存路徑並追加 PDF 需求，AVL Code 在沙箱路徑與工具限制下完成 MD 寫入，並給出同樣能到達終點的 HTML 方案。
向 AVL Code 發布任務
幫我分析下這個樣本 形成完整分析報告 9a008c505fa37e50a4c6f91f27a99c710442e250cb23886eb40f5d8ff721593a 起個名子 例如挖礦 勒索 蠕蟲 等深度分析。前提：沙箱工作區已掛載待分析樣本（會話中僅提供了 SHA256）；VT 情報源未配置不影響靜態分析主流程；fs.write 僅接受工作區相對路徑
復現材料見文末 親自檢測 ↓
送檢定性
處置的第一步是命名與定級——你把雜湊與要求一次說清：
幫我分析下這個樣本 形成完整分析報告 9a008c505fa37e50a4c6f91f27a99c710442e250cb23886eb40f5d8ff721593a 起個名子 例如挖礦 勒索 蠕蟲 等深度分析。PE 解析：804 KB · 32 位元 Windows GUI PE (x86)
→ 多輪字串擷取與 IOC 抽取
→ 複合威脅浮出水面 → 命名「挖礦蠕蟲 (Miner-Worm)」· 威脅等級高危行為拆解
散落在字串、匯入表、資源節裡的線索被組織成完整報告：
（同一條指令持續驅動，未追加新輸入）IPSec 原則封鎖連接埠——蠕蟲競爭清除競品的手段
→ Monero 礦池通訊（v9.monerov8.com）· 元件釋放
→ 6 階段殺傷鏈還原 · YARA 規則生成交付落盤
報告要落盤、還要能列印，沙箱限制下 AVL Code 給出可行路徑：
好的 MD 檔案存儲下 存儲到這裡吧 <目標路徑>
好的 能在給我形成一份 PDF 格式的報告嗎fs.write 寫入 MD（沙箱僅接受工作區相對路徑）
→ 無 pandoc/python → 引導走瀏覽器：開啟 HTML → Ctrl+P → 另存為 PDF親自檢測
在 AVL Code 會話裡按同樣順序送檢即可重現：先定性、再落盤、最後按需轉 PDF。
幫我分析下這個樣本 形成完整分析報告 <SHA256> 起個名子 例如挖礦 勒索 蠕蟲 等深度分析。好的 MD 檔案存儲下 存儲到這裡吧 <目標路徑>好的 能在給我形成一份 PDF 格式的報告嗎- 第 1 步：送檢定性（指令原文，<SHA256> 替換為你的樣本雜湊）。
- 第 2 步：報告落盤（<目標路徑> 按需替換；注意 fs.write 僅接受工作區相對路徑）。
- 第 3 步：需要 PDF 時——沙箱無 pandoc/python，按引導用瀏覽器開啟 HTML → Ctrl+P → 另存為 PDF。
- 局限如實聲明：會話匯出未記錄任務耗時（全部浮水印為同一匯出時間）；VT 情報源未配置；樣本未做動態執行驗證，行為結論均來自靜態證據；YARA 規則會話中未實際編譯/掃描驗證；「交付檔案大小」一條的兩個來源同出一會話，機制獨立性有限。處置命令（如 netsh ipsec static delete policy name="20170621"）為報告建議，讀者執行前應結合自身環境核對。
下一個問題： 報告在手，下一個任務順理成章：用 SHA256 在全網查殺同雜湊檔案、刪除 "20170621" IPSec 策略、對 103.246.218.189/247 與 v9.monerov8.com 落邊界封鎖——如何把這些動作變成一份全網排查工單？