AVL Code
全部案例
#023 · 樣本分析

案例研究 · 樣本分析

TheGentlemen 勒索軟體（Go 語言雙重勒索變種）分析

應急回應工程師處置網域環境勒索事件，拿到一個 Go 語言編寫、未加殼的 TheGentlemen 勒索軟體 Windows x64 變種，約束是純靜態零執行；最終手裡多出家族定性結論、完整攻擊鏈與 IOC 清單，以及 MD、安天CERT公眾號 HTML、列印版 HTML 三份可直接進發佈流程的交付物。

4.02MB（4,217,344 位元組）· Go · PE32+ x64 主控台· 純靜態 · 沙箱零執行· 模型：瀾砥 N2.5（AVL-Zero）· 交付物：MD 報告 + 公眾號 HTML + 列印版 HTML· 耗時：約 7 分鐘

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話 檢視案例報告

會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型

概覽

  1. 01

    靜態定性 — TheGentlemen 家族判定

    你把樣本雜湊交給 AVL Code：它解析 PE、識破「加殼疑雲」、從勒索信原文改判定性，給出雙重勒索家族與威脅等級。

  2. 02

    攻擊鏈還原 — IOC 清單與雙報告

    你等它沿字串把 PowerShell/GPO/SYSVOL/PsExec 傳播鏈與對抗能力挖穿，拿到詳細 MD 報告和公眾號風格 HTML 兩份交付物。

  3. 03

    交付收尾 — 列印版與 PDF 路徑

    你追問能不能轉 PDF：它逐條探明沙箱邊界、從舊 PDF 中繼資料找到主機 Edge 列印這條既有路徑，交付列印最佳化版 HTML。

向 AVL Code 發布任務

88e824ea42dc271f4992957584b57d64 幫我形成下這個樣本的分析報告  以及安天CERT公眾號風格的 HTML報告 和MD 檔案

靜態定性

定性從 PE 與勒索信原文開始，不預設立場：

你輸入 → AVL Code 
88e824ea42dc271f4992957584b57d64 幫我形成下這個樣本的分析報告  以及安天CERT公眾號風格的 HTML報告 和MD 檔案
AVL Code 執行 → 你會看到
PE 解析：4.02MB · Go · PE32+ x64 主控台 · 未加殼
→ 「加殼疑雲」識破 → 回到勒索信原文改判定性
→ TheGentlemen 雙重勒索家族 · 威脅等級極高危（Critical）

攻擊鏈還原

沿字串把傳播鏈與對抗能力挖穿，兩份報告同步成型：

你輸入 → AVL Code 
（同一條指令持續驅動，未追加新輸入）
AVL Code 執行 → 你會看到
內嵌 PowerShell 自動安裝 RSAT/GPMC · 枚舉網域內主機 · GPO 排程工作投放 SYSVOL scripts · 內嵌 PsExec 原始碼橫向移動
→ AMSI 繞過 · 處理程序注入（CreateRemoteThread/NtQueueApcThreadEx）· 清除安全日誌 · 終止資料庫/備份服務
→ IOC 清單：3 雜湊 · 8 網路指標 · 10 檔案路徑 · 4 登錄檔路徑
→ 交付詳細 MD 報告 + 安天CERT公眾號風格 HTML

交付收尾

能不能轉 PDF？沙箱邊界逐條探明後，給出一條既有路徑：

你輸入 → AVL Code 
好的 HTML檔案 是否可以在 轉成PDF的
AVL Code 執行 → 你會看到
沙箱無 pandoc/python → 逐條探明邊界
→ 從舊 PDF 中繼資料找到主機 Edge 列印這條既有路徑
→ 交付列印最佳化版 HTML（瀏覽器 Ctrl+P 即可出 PDF）

親自檢測

在裝有 AVL Code 的工作區放好樣本（工作區 samples/ 目錄），把下面的佔位符換成你的樣本雜湊與目標風格，即可重現全流程。

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話 檢視案例報告 
<樣本MD5> 幫我形成下這個樣本的分析報告  以及<目標風格>公眾號風格的 HTML報告 和MD 檔案
好的 HTML檔案 是否可以在 轉成PDF的
  • 第 1 步：純靜態定性 + 雙格式報告（樣本置於工作區 samples/ 目錄）。
  • 第 2 步：需要 PDF 歸檔時——上方第二條指令。
  • 局限一：會話匯出時間戳統一為匯出時刻，無法從會話本身獨立驗證「約 7 分鐘」耗時，該數字取自既有條目。
  • 局限二：IOC 計數（3 雜湊 / 8 網路指標 / 10 檔案路徑 / 4 登錄檔路徑）的完整逐項清單以交付報告 report.pdf 為準，會話正文僅展示雜湊、網路指標與部分路徑/登錄檔項，重現時請以你環境中的實際提取結果為準。

下一個問題： 報告交付後，下一步自然是處置：把 8 個網路指標與 4 條登錄檔 Run 機碼落成網域控制站和 EDR 的批量排查/封鎖規則，並核查網域內 GPO 物件與 SYSVOL scripts 目錄是否已被投放——要不要讓 AVL Code 把這份 IOC 清單直接轉成檢測規則？