案例研究 · 樣本分析
偽裝系統服務的加密貨幣挖礦木馬（XMRig 變種）分析
排查算力異常的維運人員把一個 64 位元可疑檔案的 SHA256 丟給 AVL Code，一句自然語言指令完成純靜態深挖：576KB 偽裝成系統維護服務的 XMRig 變種挖礦程式被逐條釘死——版本資訊偽造、排程工作持久化、mongoose 內嵌通訊、處理程序注入匯入全部入冊，隨後追一句就把報告落成 Markdown 檔案歸檔。
AVL Code · 瀾砥 N2.5（AVL-Zero 提供）· Windows · 576,000 位元組 PE32+ x86_64（僅憑 SHA256 接單）· 純靜態分析 · 首輪 25 個工具呼叫· IOC 3 雜湊 · 4 偽裝檔名 · 1 C2 信箱 · 2 排程工作名稱 · 1 登錄檔路徑· 約 14 分鐘 · 交付 Markdown 分析報告
會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型
概覽
- 01
靜態採集 — 576KB PE32+ 定性為 XMRig 變種挖礦程式
你把 SHA256 和分析要求（確定功能、寫標題、IOC、危害概述）一次交給 AVL Code，它用 25 個工具呼叫採集靜態特徵：三雜湊、PE 結構、編譯時間、熵值、字串、版本資訊、匯入表。
- 02
偽裝拆解 — 版本資訊與持久化機制逐條釘死
你從報告的 6 條判定依據裡逐條核對：InternalName 與資源節偽裝、系統路徑落地偽裝、schtasks 排程工作、mongoose 通訊、處理程序注入匯入、登錄檔操作。
- 03
落檔交付 — IOC 清單入表、報告存為 Markdown
你追一句「形成報告 MD 檔案」，IOC 表（3 雜湊、4 偽裝檔名、1 C2 信箱、2 排程工作名稱、1 登錄檔路徑）落進 樣本分析報告_13ab3d57_20260804.md。
向 AVL Code 發布任務
13ab3d572b30a77009d8d417be0cce6774b7590a302ac0e6f9843e1ba693a243 幫我詳細分析下這個檔案，包括確定功能 寫下標題。IOC 危害 概述等前提：AVL Code 已登入，工作區中已放置樣本檔案（按 SHA256 命名）；無需執行樣本——全程靜態分析
復現材料見文末 親自檢測 ↓
靜態採集
處置算力異常告警的第一問永遠是「這個檔案到底是什麼」。你把雜湊和分析要求一次性交給 AVL Code，它不執行樣本，直接開始靜態採集：
13ab3d572b30a77009d8d417be0cce6774b7590a302ac0e6f9843e1ba693a243 幫我詳細分析下這個檔案，包括確定功能 寫下標題。IOC 危害 概述等僅憑 SHA256 定位樣本（576,000 位元組）→ 靜態採集：PE32+ x86_64 · Windows GUI · 2018-03-16 編譯 · 熵 6.26 存在混淆
→ 字串關鍵證據："@protonmail.com -p x -t %d --donate-level=1 --nicehash" → XMRig 類命令列格式
→ 直接給出結論：偽裝成系統維護服務的加密貨幣挖礦程式（XMRig 變種）偽裝拆解
你的指令裡寫了「確定功能 寫下標題」，AVL Code 用 6 條判定依據把功能與偽裝機制逐條釘死，每一條都能在報告裡對上帳：
包括確定功能 寫下標題。IOC 危害 概述等依據 1 挖礦特徵：--donate-level=1 --nicehash → XMRig 類參數格式
依據 2 服務偽裝：InternalName = MaintenanceServices.dll · 落地路徑偽裝成 Svchost.exe / ServicesHost.exe / spoolsv.exe · 版本資訊偽裝成 Microsoft Corporation
依據 3 持久化：schtasks 建立 \Microsoft\Windows\UPnP\Services 排程工作
依據 4 網路通訊：WININET + WS2_32，內嵌 mongoose（HTTP / WebSocket / TLS）
依據 5/6 處理程序執行緒與登錄檔操作 API 齊備
→ 標題落定：偽裝成系統維護服務的加密貨幣挖礦程式（XMRig 變種）報告落檔
定性結論散在對話裡還不能進工單，你追了一句口語化的追問，把成果收進一個檔案：
幫我形成報告了嗎MD檔案 挖礦樣本分析寫入 Markdown 報告 → 樣本分析報告_13ab3d57_20260804.md
→ 章節清單：基本資訊 · 功能判定（6 條依據）· IOC 表格 · 危害概述 5 條 · 技術細節 · 結論
→ IOC：3 檔案雜湊 · 4 偽裝檔名 · C2 信箱 @protonmail.com · mongoose · 硬編碼 DNS 8.8.8.8:53 · 2 排程工作名稱
→ 可直接用於彙報或歸檔親自檢測
重現本案例只需兩條指令：下載會話匯入工作區回放，或在你自己的 AVL Code 裡照做——把佔位符換成你手裡樣本的雜湊：
› <樣本SHA256> 幫我詳細分析下這個檔案，包括確定功能 寫下標題。IOC 危害 概述等 （拿到定性結論後追加）› 幫我形成報告了嗎MD檔案 挖礦樣本分析- 第一條指令本身已含產出要求（功能、標題、IOC、危害概述），照抄即可；第二條口語化追問同樣能觸發落檔。本案例會話匯出為摘要版，首輪工具呼叫逐條軌跡未隨匯出保留，重現時你的工具序列可能與原文順序不同，但靜態結論一致。IOC 明細與危害概述全文以案例報告 report.pdf 及會話匯出為準。
下一個問題： 報告與 IOC 清單到手之後怎麼落地處置——如何清理 \Microsoft\Windows\UPnP\Services 與 TcpipReportingServices 兩處排程工作、刪除 4 個偽裝落地檔案，並把偽裝檔名與雜湊轉成 EDR 檢測規則？