AVL Code
全部案例
#020 · 样本分析

案例研究 · 样本分析

伪装系统服务的加密货币挖矿木马（XMRig 变种）分析

排查算力异常的运营人员把一个 64 位可疑文件的 SHA256 丢给 AVL Code，一句自然语言指令完成纯静态深挖：576KB 伪装成系统维护服务的 XMRig 变种挖矿程序被逐条钉死——版本信息伪造、计划任务持久化、mongoose 内嵌通信、进程注入导入全部入册，随后追一句就把报告落成 Markdown 文件归档。

AVL Code · 澜砥 N2.5（AVL-Zero 提供）· Windows · 576,000 字节 PE32+ x86_64（仅凭 SHA256 接单）· 纯静态分析 · 首轮 25 个工具调用· IOC 3 哈希 · 4 伪装文件名 · 1 C2 邮箱 · 2 计划任务名 · 1 注册表路径· 约 14 分钟 · 交付 Markdown 分析报告

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告

概览

  1. 01

    静态采集 — 576KB PE32+ 定性为 XMRig 变种挖矿程序

    你把 SHA256 和分析要求（确定功能、写标题、IOC、危害概述）一次交给 AVL Code，它用 25 个工具调用采集静态特征：三哈希、PE 结构、编译时间、熵值、字符串、版本信息、导入表。

  2. 02

    伪装拆解 — 版本信息与持久化机制逐条钉死

    你从报告的 6 条判定依据里逐条核对：InternalName 与资源节伪装、系统路径落地伪装、schtasks 计划任务、mongoose 通信、进程注入导入、注册表操作。

  3. 03

    落档交付 — IOC 清单入表、报告存为 Markdown

    你追一句"形成报告 MD 文件"，IOC 表（3 哈希、4 伪装文件名、1 C2 邮箱、2 计划任务名、1 注册表路径）落进 样本分析报告_13ab3d57_20260804.md。

向 AVL Code 发布任务

13ab3d572b30a77009d8d417be0cce6774b7590a302ac0e6f9843e1ba693a243 帮我详细分析下这个文件，包括确定功能 写下标题。IOC 危害 概述等

前提：AVL Code 已登录，工作区中已放置样本文件（按 SHA256 命名）；无需执行样本——全程静态分析

复现材料见文末 亲自检测 ↓

静态采集

处置算力异常告警的第一问永远是"这个文件到底是什么"。你把哈希和分析要求一次性交给 AVL Code，它不执行样本，直接开始静态采集：

你输入 → AVL Code 
13ab3d572b30a77009d8d417be0cce6774b7590a302ac0e6f9843e1ba693a243 帮我详细分析下这个文件，包括确定功能 写下标题。IOC 危害 概述等
AVL Code 执行 → 你会看到
仅凭 SHA256 定位样本（576,000 字节）→ 静态采集：PE32+ x86_64 · Windows GUI · 2018-03-16 编译 · 熵 6.26 存在混淆
→ 字符串关键证据："@protonmail.com -p x -t %d --donate-level=1 --nicehash" → XMRig 类命令行格式
→ 直接给出结论：伪装成系统维护服务的加密货币挖矿程序（XMRig 变种）

伪装拆解

你的指令里写了"确定功能 写下标题"，AVL Code 用 6 条判定依据把功能与伪装机制逐条钉死，每一条都能在报告里对上账：

你输入 → AVL Code 
包括确定功能 写下标题。IOC 危害 概述等
AVL Code 执行 → 你会看到
依据 1 挖矿特征：--donate-level=1 --nicehash → XMRig 类参数格式
依据 2 服务伪装：InternalName = MaintenanceServices.dll · 落地路径伪装成 Svchost.exe / ServicesHost.exe / spoolsv.exe · 版本信息伪装成 Microsoft Corporation
依据 3 持久化：schtasks 创建 \Microsoft\Windows\UPnP\Services 计划任务
依据 4 网络通信：WININET + WS2_32，内嵌 mongoose（HTTP / WebSocket / TLS）
依据 5/6 进程线程与注册表操作 API 齐备
→ 标题落定：伪装成系统维护服务的加密货币挖矿程序（XMRig 变种）

报告落档

定性结论散在对话里还不能进工单，你追了一句口语化的追问，把成果收进一个文件：

你输入 → AVL Code 
帮我形成报告了吗MD文件  挖矿样本分析
AVL Code 执行 → 你会看到
写入 Markdown 报告 → 样本分析报告_13ab3d57_20260804.md
→ 章节清单：基本信息 · 功能判定（6 条依据）· IOC 表格 · 危害概述 5 条 · 技术细节 · 结论
→ IOC：3 文件哈希 · 4 伪装文件名 · C2 邮箱 @protonmail.com · mongoose · 硬编码 DNS 8.8.8.8:53 · 2 计划任务名
→ 可直接用于汇报或归档

亲自检测

复现本案例只需两条指令：下载会话导入工作区回放，或在你自己的 AVL Code 里照做——把占位符换成你手里样本的哈希：

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告 
› <样本SHA256> 帮我详细分析下这个文件，包括确定功能 写下标题。IOC 危害 概述等
  （拿到定性结论后追加）
› 帮我形成报告了吗MD文件  挖矿样本分析
  • 第一条指令本身已含产出要求（功能、标题、IOC、危害概述），照抄即可；第二条口语化追问同样能触发落档。本案例会话导出为摘要版，首轮工具调用逐条轨迹未随导出保留，复现时你的工具序列可能与原文顺序不同，但静态结论一致。IOC 明细与危害概述全文以案例报告 report.pdf 及会话导出为准。

下一个问题： 报告与 IOC 清单到手之后怎么落地处置——如何清理 \Microsoft\Windows\UPnP\Services 与 TcpipReportingServices 两处计划任务、删除 4 个伪装落地文件，并把伪装文件名与哈希转成 EDR 检测规则？