AVL Code
全部案例
#014 · 樣本分析

案例研究 · 樣本分析

Yayaya 挖礦木馬與核心 Rootkit 深度分析

安全維運人員把一條僅有 MD5 的挖礦木馬線索交給 AVL Code，一句自然語言指令按預設計畫拆出靜態特徵、動態行為、威脅關聯三路子 Agent 並行深挖，約 10 分鐘拿到判定 Critical 的完整分析報告——18,801 位元組 Bash 部署指令碼背後的 Diamorphine 變種 Rootkit、三級核心隱藏、6 級備用 C2 與全面反取證手段全部入冊。

AVL Code · 瀾砥 N2.5（AVL-Zero 提供）· Linux · 18,801 位元組 Bash 部署指令碼（僅憑 MD5 接單）· 靜態 / 動態 / 威脅關聯 三路子 Agent 並行· IOC 3 網域 · 1 C2 IP · 9 競品清理 IP 段 · 16 條檔案路徑 · 18 項 ATT&CK· 約 10 分鐘 · 威脅等級 Critical

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話 檢視案例報告

會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型

概覽

  1. 01

    接單初探 — 18,801 位元組明文指令碼露出四段惡意部署環節

    你把一個只有 MD5 的雜湊線索交給 AVL Code：定位樣本、探測類型與熵值、提取全部字串與 IOC，通讀全文後惡意骨架（清競品 / 替換 iptables / 裝 LKM Rootkit / 下載 Payload）浮出水面。

  2. 02

    三路並行 — 子 Agent 分頭深挖，威脅情報不通也不停工

    AVL Code 按你指令裡寫好的計畫派出靜態、動態、威脅關聯三個子 Agent 並行分析；威脅情報查詢不可用時改用已掌握資訊繼續，不讓任務卡死。

  3. 03

    彙總交付 — Critical 定性 + 五項關鍵發現入冊

    三路結果彙成核心結論表與關鍵發現清單，報告寫入 報告_<MD5>.md：Diamorphine 變種 Rootkit、三級隱藏、6 級備用 C2、競品清除與反取證手段全部落檔。

向 AVL Code 發布任務

分析雜湊值為52952154ab2f34686e295f3177d15d07的檔案，形成包含威脅檢測、行為特徵、靜態屬性的完整安全分析報告
計畫:① 先規劃拆成三個子任務：靜態特徵提取（檔案類型、編譯資訊、匯入表等）、動態行為模擬（API呼叫序列、網路行為、檔案操作）、威脅指標關聯（查沙箱/威脅情報庫、匹配已知簽章） → ② 派3個子Agent並行執行：子Agent1做靜態分析，子Agent2做動態分析，子Agent3做威脅關聯 → ③ 彙總三個子Agent的結果，生成結構化的分析報告交你驗收

前提：工作區中已放置樣本檔案 samples/<MD5>；AVL Code 已登入。會話中威脅情報查詢當時不可用，重現時該通道可用與否不影響主流程

復現材料見文末 親自檢測 ↓

樣本初探

處置挖礦告警的第一問永遠是「它是什麼、怎麼進來的」。你把雜湊和預設計畫一次性交給 AVL Code，它先不急著派 Agent，而是把樣本看透：

你輸入 → AVL Code 
分析雜湊值為52952154ab2f34686e295f3177d15d07的檔案，形成包含威脅檢測、行為特徵、靜態屬性的完整安全分析報告
計畫:① 先規劃拆成三個子任務：靜態特徵提取（檔案類型、編譯資訊、匯入表等）、動態行為模擬（API呼叫序列、網路行為、檔案操作）、威脅指標關聯（查沙箱/威脅情報庫、匹配已知簽章） → ② 派3個子Agent並行執行：子Agent1做靜態分析，子Agent2做動態分析，子Agent3做威脅關聯 → ③ 彙總三個子Agent的結果，生成結構化的分析報告交你驗收
AVL Code 執行 → 你會看到
按雜湊定位樣本（18,801 位元組）→ 初步探測：Bash 指令碼 · 熵約 5.0
→ 字串初見「刪除 XMRig 礦工相關檔案」
→ 提取全部字串與 IOC，讀取指令碼全文
→ 惡意骨架定型：清除 XMRig 痕跡 → 替換 iptables → 編譯安裝 LKM Rootkit → 下載執行 Payload

三路並行

指令裡的計畫 ② 到了兌現的時刻。AVL Code 先試圖補上獨立情報佐證，碰壁後沒有原地重試：

你輸入 → AVL Code 
② 派3個子Agent並行執行：子Agent1做靜態分析，子Agent2做動態分析，子Agent3做威脅關聯
AVL Code 執行 → 你會看到
先查威脅情報 → 查詢不可用 → 降級繼續，不中斷
→ 派 3 個子 Agent 並行分析：靜態分析 / 動態分析 / 威脅關聯
→ 三路分析完成

彙總交付

三路結果在計畫 ③ 的匯合點碰頭，你驗收的是一份可以直接進工單的報告：

你輸入 → AVL Code 
③ 彙總三個子Agent的結果，生成結構化的分析報告交你驗收
AVL Code 執行 → 你會看到
彙總三路結果 → 寫入 報告_5295….md
→ 核心結論：威脅等級 嚴重（Critical）· Linux 多階段載入器 + LKM Rootkit + 礦工部署器
→ Rootkit：Diamorphine 變種 · 最終載荷 XMRig 門羅幣礦工 · 核心相容 2.6.x ~ 5.7+
→ 關鍵發現：劫持系統呼叫使程序/檔案/模組完全不可見 · 3 個信號後門（含提權）· 6 級下載備用機制 · 清理競品礦工 · 全面反取證

親自檢測

重現本案例只需一條指令：下載會話匯入工作區回放完整過程，或在你的 AVL Code 中貼上以下指令（把佔位符換成你手裡的雜湊，樣本檔案放在 samples/<MD5> 下）：

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話 檢視案例報告 
› 分析雜湊值為<樣本MD5>的檔案，形成包含威脅檢測、行為特徵、靜態屬性的完整安全分析報告
  計畫:① 先規劃拆成三個子任務：靜態特徵提取、動態行為模擬、威脅指標關聯 → ② 派3個子Agent並行執行 → ③ 彙總三個子Agent的結果，生成結構化的分析報告交你驗收
  • 計畫三步可以照抄，也可以只給第一句讓 AVL Code 自行規劃——本案例的價值之一在於指令自帶分工計畫。會話中威脅情報查詢當時不可用，「威脅關聯」一路降級為主 Agent 已掌握的資訊；重現時若該通道可用，可補一路獨立情報佐證。IOC 明細（3 網域 / 1 C2 IP / 9 IP 段 / 16 檔案路徑）與 YARA 規則明文以案例報告 PDF 為準。

下一個問題： 報告到手之後怎麼落地——如何把 9 個競品清理 IP 段、16 條檔案路徑和 YARA 規則轉成主機排查清單與 IDS/EDR 檢測條目，並對已中招機器做核心模組級清除？