AVL Code
全部案例
#002 · 樣本分析

案例研究 · 樣本分析

fast16 惡意程式深度分析

你是接到樣本分析任務的分析員：樣本只給雜湊、不能執行、報告要 HTML、最好連檢測工具一起交。照本文三步做完，你手裡會多出一份 22,313 位元組的 HTML 分析報告、一套零相依檢測工具和 5 條 YARA 規則——全程樣本零執行。

PE32 · 308KB（315,392 位元組）· 總熵 5.88· 純靜態 · 零執行· 瀾砥 N2.5· HTML 報告 22,313 位元組· 零相依檢測工具 + 5 條 YARA

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話

會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型

概覽

  1. 01

    靜態定性 — 一份 CRITICAL 9.5/10 的完整定性

    你把樣本 SHA256 和「報告要 HTML」一句交給 AVL Code，零執行拿到 8 步攻擊鏈還原與定性結論。

  2. 02

    報告存檔 — 22,313 位元組 HTML 可歸檔

    你補一句「需保存為 HTML 檔案」，報告從對話落進工作區，瀏覽器開啟即讀、可直接流轉。

  3. 03

    檢測產出 — 零相依工具 + 5 條 YARA

    你再要一個本地檢測工具，拿到經 23 條發現實測、0 誤報驗證的 fast16_detector/ 與規則。

向 AVL Code 發布任務

給我分析一下9a10e1faa86a5d39417cae44da5adf38824dfb9a16432e34df766aa1dc9e3525這個樣本，分析報告的格式要HTML的哈

前提：AVL Code 已登入；樣本以檔案形式放入工作區（本案例對外僅保留雜湊）；落盤檔案需要可寫工作區——唯讀模式下報告只能在對話中呈現

復現材料見文末 親自檢測 ↓

靜態定性

任務佈置只有一句話：給出 SHA256，說明報告要 HTML。不寫分析計畫、不搭環境，把約束一次說清，其餘交給執行過程。複製下面這行，把雜湊換成你的樣本即可。

你輸入 → AVL Code 
給我分析一下9a10e1faa86a5d39417cae44da5adf38824dfb9a16432e34df766aa1dc9e3525這個樣本，分析報告的格式要HTML的哈
AVL Code 執行 → 你會看到
確認樣本存在（315,392 位元組）→ 基礎分析：雜湊驗證 / PE 解析 / 熵分析 / 字串提取 / IOC
→ 32 位元 PE 主控台程式 · 總熵 5.88 未加殼 · 編譯時間戳 2005（可疑，疑偽造）
→ 關鍵字串：cmd.exe、服務控制 API、網路共用 API
→ 首輪提取多為反組譯碎片 → 直取 .rdata 節區可讀字串，發現豐富
→ YARA 引擎不可用 → 用已收集資料完成定性，報告以 Markdown 呈現（當時唯讀模式，無法寫檔案）

報告存檔

報告已在對話裡，但要進歸檔、要流轉，還差一個檔案。追一句：

你輸入 → AVL Code 
需保存為 HTML 檔案
AVL Code 執行 → 你會看到
寫入 report_9a10….html（22,313 位元組）到工作區根目錄
→ 驗證檔案已寫入，瀏覽器開啟即讀
→ 附報告摘要：Win32 遠控木馬 / Lua 指令碼引擎 / 「fast16」核心 Rootkit / 服務持久化 / 內網橫向移動

產出檢測工具

第三項要求同樣是一句話，分析成果不必止步於文件：

你輸入 → AVL Code 
給我做一個本地檢測這個惡意樣本的檢測工具
AVL Code 執行 → 你會得到
基於樣本靜態特徵編寫 fast16_detector/：scanner.py（匯入表/字串/熵/評分）+ cli.py + rules.yar（5 條規則）
→ 實測被沙箱策略攔截 → 複製樣本到暫存路徑重測；熵計算 bug 定位後整檔案重寫修復
→ 複測：23 條發現 · severity=critical（核心驅動 Rootkit / 服務 API 集群 / 橫向移動等分級列出）
→ 誤報驗證：正常檔案 0 發現，samples/ 目錄僅目標樣本檢出
→ 交付 HTML 輸出（8,927 位元組）+ YARA 規則語法驗證通過

親自檢測

下載會話匯入工作區回放全程，或按順序貼上以下指令（把雜湊與路徑換成你的樣本）；拿到工具後用它本地複檢：

檢視會話內容 下載會話存檔 可匯入 AVL Code 工作區重播完整對話
› 給我分析一下 <樣本 SHA256> 這個樣本，分析報告的格式要HTML的哈
› 需保存為 HTML 檔案
› 給我做一個本地檢測這個惡意樣本的檢測工具
› python -m fast16_detector.cli <樣本路徑>
› python -m fast16_detector.cli <待掃描目錄> -o <輸出報告>.html
› yara64 fast16_detector/rules.yar <樣本路徑>
  • 拿到工具後，用上方三條複檢命令在本地驗證檢測效果。
  • 純靜態分析，樣本零執行；建議在隔離工作區處理可疑樣本。會話中樣本掃描曾被沙箱策略攔截（samples/ 路徑限制），工具實測改在暫存路徑完成。

下一個問題： 如何把 5 條 YARA 規則接入檢測防線並追蹤命中率？