案例研究 · 樣本分析
偽裝 WinRAR 安裝包的惡意載入器（Loader）分析
你是處置偽裝安裝包告警的維運人員，手裡只有一個 SHA256，要求把整體釋放邏輯講清：EXE 釋放的三組 BAT 各自做什麼、又釋放了什麼、最終核心載荷是什麼。照本文做完，你會拿到一份含攻擊全景圖、攻擊鏈時間軸、完整 IOC 清單與清除方案的分析報告，威脅等級判定極高危（Critical）。
PE32+ · x86-64 · Setup Factory 打包· 偽裝 WinRAR · 資源段嵌完整安裝包 · 熵值 7.93· 瀾砥 N2.5· 完整分析報告 · 攻擊全景圖 + IOC 清單 + 檢測清除方案· 威脅等級極高危（Critical）
會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型
概覽
- 01
送檢定性 — Setup Factory 偽裝閉環現形
你把 SHA256 連同「完整分析報告 + 釋放邏輯清晰化」的要求一句話交給 AVL Code，先拿到樣本定性：偽裝成 winrar-x64-700.exe 的 PE32+ 載入器，資源段裡嵌著真 WinRAR 安裝包。
- 02
釋放鏈還原 — 三組 BAT 與雙層排程工作逐層展開
報告按你點名的三組 BAT 逐個給出大小、落地路徑與執行邏輯原文，雙層排程工作持久化鏈（開機觸發 + 每 5 分鐘保活）與 hosts 檔案 4 條劫持記錄全部落表。
- 03
載荷定性與交付 — a.ps1 後門 + 完整 IOC + 清除方案
最終載荷 a.ps1 的四模組架構、5 秒輪詢與 UID 綁定被還原，IOC 成表並附檢測規則與清除步驟；你追一句存 MD，交付環節如實記錄了一次介面逾時。
向 AVL Code 發布任務
02b6cecf0dedfaab4e8491345ad99f125a802257f3c1e28f66f65491f1584004 幫我形成 完整分析報告 包括整體釋放邏輯 這個邏輯在清晰化一些， 例如樣本EXE釋放三組BAT 每個BAT核心功能 。又釋放的什麼 最終 核心載荷是什麼前提：AVL Code 已登入；樣本以雜湊形式提供（本案例對外僅提供雜湊）；會話匯出中本輪「思考 8 次 · 19 個工具呼叫」被摺疊為緊湊行，工具呼叫軌跡無法逐條複盤
復現材料見文末 親自檢測 ↓
樣本定性
任務佈置只有一句話——給雜湊、要完整分析報告、點名要求把釋放邏輯講清。不寫分析提綱、不搭沙箱，接下來看它怎麼從這條指令走到定性結論：
02b6cecf0dedfaab4e8491345ad99f125a802257f3c1e28f66f65491f1584004 幫我形成 完整分析報告 包括整體釋放邏輯 這個邏輯在清晰化一些， 例如樣本EXE釋放三組BAT 每個BAT核心功能 。又釋放的什麼 最終 核心載荷是什麼載入分析工具，本輪 19 個工具呼叫完成全景
→ 基礎資訊：winrar-x64-700.exe · PE32+ · Setup Factory 打包
→ 資源段內嵌完整 WinRAR 安裝包 · 整體熵 7.93（含加密/壓縮載荷）
→ 攻擊全景：樣本 EXE → once.bat → connectionupdate2.bat → connectionupdate.bat → a.ps1 五層遞進
→ 威脅等級：極高危釋放鏈還原
主指令裡被點名的正是這一段（原文照錄）：
例如樣本EXE釋放三組BAT 每個BAT核心功能 。又釋放的什麼 最終 核心載荷是什麼逐個 BAT 還原（大小 / 落地路徑 / 執行邏輯）：
→ once.bat：建排程工作（SYSTEM · 開機觸發 · 最高權限）→ 立即觸發一次 → 自刪除
→ connectionupdate2.bat：每 5 分鐘觸發下一級工作
→ connectionupdate.bat 三連擊：Defender 排除 System32 → hosts 追加 4 條網域解析 → 下載 a.ps1 記憶體執行
→ 混淆：Base64 編碼 + 字串替換
→ 完整攻擊鏈時間軸 T+0s → T+20s最終載荷
「最終 核心載荷是什麼」這個問題，報告用了一整章回答：
又釋放的什麼 最終 核心載荷是什麼a.ps1 四模組架構：UID 管理（登錄檔 + 檔案雙備份）/ C2 通訊（每 5 秒輪詢 get-command.php）/ 命令執行引擎（直接執行下發 PowerShell）/ 反檢測（SessionId 檢查 + Defender 排除二次確認）
→ 下載源：157.173.104.143（主）· issue.homes（備，經 hosts 劫持）
→ IOC：5 檔案雜湊 · 2 C2 位址 · 4 被劫持網域 · 2 排程工作名稱 · 2 登錄檔路徑
→ 檢測規則 5 條 + 清除步驟 6 步（殺程序 → 刪工作 → 刪 BAT → 刪 UID 存儲 → 還原 hosts → 撤銷排除）交付確認
報告已在會話中完整生成，你追一句確認落盤——這一步沒有按預期走完：
好的MD檔案 存儲下哦[Error: llm stream call failed: after 5 attempts: http request: Post "https://zapi.avlcode.cn/v1/delta": net/http: timeout awaiting response headers]
→ 重試 5 次全部逾時
→ 隨後一條「(本條無文字回覆)」
→ 會話匯出中沒有 MD 落盤成功的確認記錄親自檢測
在 AVL Code 裡重現這個任務只需要兩條訊息——把雜湊換成你手裡樣本的 SHA256，釋放邏輯的具體要求可按需改寫：
1) 主指令（原文）：02b6cecf0dedfaab4e8491345ad99f125a802257f3c1e28f66f65491f1584004 幫我形成 完整分析報告 包括整體釋放邏輯 這個邏輯在清晰化一些， 例如樣本EXE釋放三組BAT 每個BAT核心功能 。又釋放的什麼 最終 核心載荷是什麼2) 交付確認（原文）：好的MD檔案 存儲下哦- 本案例的誠實邊界：會話匯出中本輪「思考 8 次 · 19 個工具呼叫」被摺疊為緊湊行，工具呼叫軌跡無法逐條複盤，duo 右欄內容均取自會話中真實可見的文字與報告章節；第二條指令後模型介面逾時（5 次重試），MD 落盤是否成功在會話中無確認記錄；「約 3 分鐘」耗時僅見於既有條目，會話浮水印均為同一時刻，無法獨立驗證；驗證表來源 A/B 分別是會話報告與既有條目，但後者亦由同一會話產出，機制獨立性有限，特此聲明。
下一個問題： 把兩個排程工作名稱與 HKLM\Software\Wireless\uid 落進檢測規則，再用擷取到的 a.ps1 通訊流量驗證 5 秒輪詢間隔與 UID 上報格式。