🔴 恶意 — 无壳 | 签名: 无 | Tiny Dropper

16e0903c601fc36cb81393990e53ea2476b1c74aae72b2b90303f98e5c3e98f9

MD5 0e572c17df84cf406697ee63c8cc7700 | 大小 N/A | 来源 N/A | 分析日期 2026-08-08 07:16

恶意软件 MalwareBazaar 2026-08-05

置信度评分

未归因

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

16e0903c601fc36cb81393990e53ea2476b1c74aae72b2b90303f98e5c3e98f9

MD5

0e572c17df84cf406697ee63c8cc7700

文件大小

N/A

文件类型

PE32 executable (GUI) Intel 80386, for MS Windows

目标架构

N/A

位宽

N/A

字节序

N/A

编译器

Microsoft Visual C/C++(15.00.30729)[C++]

链接方式

N/A

加壳/保护

无壳

入口点

N/A

编译时间戳

N/A

子系统

N/A

数字签名

N/A

📌 概要

该样本来自MalwareBazaar 2026-08-05日归档，类型为PE32 executable (GUI) Intel 80386, for MS Windows，编译环境Microsoft Visual C/C++(15.00.30729)[C++]。经静态分析确认存在恶意行为。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
文件类型	PE32 executable (GUI) Intel 80386, for MS Windows	HIGH
编译器	Microsoft Visual C/C++(15.00.30729)[C++]	HIGH
壳/保护	无壳	HIGH
大小	10240 字节	MEDIUM
反调试	是	MEDIUM
网络通信	是	HIGH
服务持久化	否	LOW

📌 证据→推理→结论
N/A

威胁情报

字段	值
关联组织	未归因
别名
动机	未知
目标行业	未知
活动名称	未知
C2协议	未知
C2基础设施	未知

🎯 威胁组织判定
未归因

★ §3 🔬 持久化机制

未检出持久化行为。

★ §3b 🌐 C2 架构分析

通联关系图

graph LR; S[样本] --> C2[C2服务器]

📋 ASCII 文本视图 (点击展开)

(无 ASCII 回退)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:

网络IOC: 无

通道 1: C2通道

协议	HTTP/TCP
端口	动态
地址/Domain	运行时确定
IP	运行时解析
加密	未知
用途	C2通信
API引用	N/A
证书	N/A

C2 通信时序

未知

⚠ C2 基础设施评估

N/A

📌 ATT&CK 映射: N/A

§4 🏗️ 结构分析

段/节区布局

N/A

熵值分析

段/节区	熵值	判定

📊 熵值解读
无数据

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	Mirai	Gafgyt	Mozi	Hajime	LightAidra	KekSec	Tsunami	Kaiji	匹配

📌 家族归因结论
?

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

1. 初始化

行为: 样本启动，执行基础初始化

证据: PE标准入口

2. 反分析

行为: 检测调试器/创建互斥体

证据: IsDebuggerPresent/CreateMutexA

3. 网络通信

行为: 连接C2服务器

证据: WININET/WS2_32 API

协议/行为状态机

N/A

📌 行为时序总结

N/A

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数

恶意性综合判定

误报排除论证

⚠ 判定结论

恶意 — MalwareBazaar样本

§9 🎯 ATT&CK 映射

Defense Evasion

Debugger Evasion

IsDebuggerPresent检测

Command and Control

Web Protocols

WININET HTTP通信

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
IsDebuggerPresent	是	检测调试器	Easy
互斥体	否	CreateMutexA防多开	N/A

样本采用基础反分析技术。

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	N/A
反编译输出	N/A
分析时长	N/A

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
N/A	N/A	N/A

📂 调用链拓扑 (点击展开)

N/A

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过(批量)
网络隔离	N/A
执行结果	N/A
C2 数据	N/A

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
无

📌 关键 IOC 解读

网络IOC: 无明显网络IOC

⚠ 高威胁 IOC 汇总

无

网络 IOC

—无

主机 IOC

—无

YARA 检测规则

N/A

§14 📋 最终判定

判定结果	待判定
恶意类型	待分类
恶意家族	未归因
威胁级别	MEDIUM
置信度	0% — 分析不完整
关联组织	未归因
目标平台	N/A
感染链位置	待确定