AVL Code
全部案例
#017 · 樣本分析

案例研究 · 樣本分析

tflower 勒索軟體分析

你是接到勒索事件定性任務的應急回應工程師，手裡只有一個未加殼的 64 位元 tflower 勒索軟體樣本（對外僅交雜湊）。照本文做完，你手裡會多出一份以樣本雜湊命名的 MD 全量分析報告：AES-256-CBC + RSA 混合加密定性、C2 與勒索信聯絡方式、完整 IOC 與處置建議，威脅等級判定嚴重（Critical）。

對象：1.37MB 未加殼 Windows PE32+（x64 主控台子系統）勒索軟體· 約束：純靜態 · 樣本零執行 · 對外交付僅 SHA256· 模型：AVL-Zero · 瀾砥 N2.5· 過程：單輪指令 · 17 次工具呼叫（sec.strings×6 / sec.hexdump / memory.memorize / fs.write）· 交付：MD 全量分析報告（定性 / 加密機制 / IOC / 危害 / 處置建議）

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話 檢視案例報告

會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型

概覽

  1. 01

    送檢定性 — 六輪字串挖出勒索軟體全貌

    你把樣本 SHA256 和報告要求一句交給 AVL Code，看它從 PE 判型到字串分區提取，把加密、C2、勒索信逐段挖出。

  2. 02

    驗證坐實 — 十六進位層複核 C2

    關鍵資料不靠單次提取定論：sec.hexdump 回到位元組層確認 C2 URL，關鍵發現經 memory.memorize 歸檔後才算數。

  3. 03

    報告交付 — MD 報告直接歸檔

    全量分析報告以樣本 SHA256 命名落盤，定性、IOC、危害、處置建議一次成型，威脅等級判定嚴重（Critical）。

向 AVL Code 發布任務

6c75998580fb05c01b10f4703299ffd782bec55c8765c030b8a4760fff6045fe  幫我分析下這個樣本 形成完整分析報告  危害  IOC 概述  標題 XXX 木馬分析 形成MD報告

前提：AVL Code 已登入；樣本在工作區中可被工具存取（本案例對外僅保留 SHA256）

復現材料見文末 親自檢測 ↓

字串提取

定性勒索事件的第一條紀律是不動樣本。你把 SHA256 和報告要求一次說清，其餘交給執行過程：

你輸入 → AVL Code 
6c75998580fb05c01b10f4703299ffd782bec55c8765c030b8a4760fff6045fe  幫我分析下這個樣本 形成完整分析報告  危害  IOC 概述  標題 XXX 木馬分析 形成MD報告
AVL Code 執行 → 你會看到
獲取樣本基本資訊（首批 8 個工具呼叫）→ 判定 x64 PE 主控台程式
→ 連續 6 輪 sec.strings 分區提取 → 首輪即發現關鍵資訊，擴大範圍
→ 鎖定 C2 通訊與惡意行為字串區域 → 定位 C2 URL、勒索信等關鍵資料

驗證與交付

字串裡看到的 URL 還要回到位元組層確認——這是交報告前的最後一道自查。同一條指令持續驅動全程，你無需追加任何輸入：

你輸入 → AVL Code（同一條指令持續驅動） 
6c75998580fb05c01b10f4703299ffd782bec55c8765c030b8a4760fff6045fe  幫我分析下這個樣本 形成完整分析報告  危害  IOC 概述  標題 XXX 木馬分析 形成MD報告
AVL Code 執行 → 你會看到
sec.hexdump 回到位元組層確認 → C2 URL：https://www.adamaitalycup.it/wp-includes/wp-merge.php（被攻陷的義大利網站）
→ memory.memorize 歸檔 · fs.write 生成報告 6c759985….md
→ 報告摘要：AES-256-CBC + RSA 混合加密 · 聯絡信箱 ×2 · 開發者標識 MinghuaQu（tflower）· Run 機碼啟動項 · 刪影/禁還原/清資源回收筒 · VS2017 + OpenSSL 靜態編譯
→ 危害等級：嚴重

親自檢測

在 AVL Code 會話框裡貼入下面一行（把雜湊換成你的樣本），其餘交給執行過程：

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話 檢視案例報告 
<樣本SHA256>  幫我分析下這個樣本 形成完整分析報告  危害  IOC 概述  標題 XXX 木馬分析 形成MD報告
  • 本會話為單輪指令：定性、驗證、落盤全部由這一句驅動，匯出中無追加輸入。首批 8 個工具呼叫與各輪 sec.strings / sec.hexdump 的回傳明細在匯出 HTML 中被摺疊，可下載 .zsession 或對照 report.pdf 還原；IOC 計數（4 個檔案雜湊等）與「HTTP(S) 上報受害主機名與加密狀態」出自既有條目與報告 PDF，會話匯出正文未逐項展開。

下一個問題： IOC 清單已到手，下一件事自然是把它變成攔得住的檢測能力：封鎖 C2 網域、全網排查 proxycap 啟動項——然後追問一句：能不能給這套加密行為生成 YARA 規則，讓檢測線也認識它？