| 分类 | 标签 | 置信度 |
|---|---|---|
| 恶意类型 | 通用 IoT 投放脚本 | HIGH |
| C2 | http://129.121.110.105 | HIGH |
| 字段 | 值 |
|---|---|
| 关联组织 | 未归因 |
| 别名 | ? |
| 动机 | ? |
| 目标行业 | ? |
| 活动名称 | ? |
| C2协议 | HTTP |
| C2基础设施 | http://129.121.110.105 |
| 位置 | N/A |
| 方法 | 待确认 |
| 触发 | N/A |
脚本投放器| 协议 | HTTP |
| 端口 | |
| 地址/Domain | http://129.121.110.105 |
| IP | http |
| 加密 | 无 |
| 用途 | Payload 下载 |
| API引用 | |
| 证书 | N/A |
即时
C2: http://129.121.110.105
| 段/节区 | 熵值 | 判定 |
|---|---|---|
| N/A | 4.50 | 低熵 |
| 地址 | 函数 | 功能 |
|---|---|---|
| N/A | ||
| 调用号 | 系统调用 | 用途 | 地址 |
|---|---|---|---|
| N/A | |||
| 字段 | 值 | 来源 |
|---|---|---|
| 无 | ||
| 维度 | 本样本 | Mirai | Gafgyt | Mozi | Hajime | LightAidra | KekSec | Tsunami | Kaiji | 匹配 |
|---|---|---|---|---|---|---|---|---|---|---|
| 投放模式 | wget+exec | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | 0/8 |
| 变种 | 架构 | 大小 | 编译器 | 特征 | 状态 |
|---|---|---|---|---|---|
| a27aed9b | 多架构 | 1KB | Bash | 无 | 已分析 |
行为: 恶意脚本启动
证据: 脚本内容
行为: 下载/执行恶意 Payload
证据: 下载/执行命令
| 维度 | 证据 | 权重 | 恶意指数 |
|---|---|---|---|
| 恶意行为 | 下载并执行未授权代码 | 50 | 10/10 |
| 授权 | 无合法授权 | 50 | 10/10 |
HIGH — 恶意脚本
| 层 | API/技术 | 检测目标 | 绕过难度 |
|---|---|---|---|
| 无 | |||
| 检测方法 | VMware | VirtualBox | QEMU/KVM |
|---|---|---|---|
| 无 | |||
| 技术 | 是否存在 | 证据 | 对抗难度 |
|---|---|---|---|
| 无 | 无 | 明文脚本 | 无 |
| 层 | 操作 | API/命令 | 证据来源 |
|---|---|---|---|
| 无 | |||
| 反编译函数数 | N/A (脚本) |
| 反编译输出 | N/A |
| 分析时长 | N/A |
/* 脚本 — 无需 Ghidra */| 总函数数 | 总调用关系 | 最大调用深度 |
|---|---|---|
| 0 | ? | ? |
| QEMU 模式 | 跳过 (脚本) |
| 网络隔离 | 未配置 |
| 执行结果 | N/A |
| C2 数据 | 无 C2 通信 |
| 偏移 | 字符串 | 类型 | 用途/含义 | 威胁等级 |
|---|---|---|---|---|
| Script | http://129.121.110.105 | C2 | C2/执行方式 | HIGH |
恶意脚本投放器
a27aed9b008f416b6ca6ba938ea65189c60a02db446b7c4e622946d8076f3f4e — 样本哈希65689c30da883dddf80de3a0f74fd3eb — 样本 MD5| 判定结果 | 🔴 CRITICAL — 恶意代码 |
| 恶意类型 | 恶意脚本 |
| 恶意家族 | 通用 IoT 投放脚本 |
| 威胁级别 | HIGH |
| 置信度 | 90% — 脚本特征确认 |
| 关联组织 | 未归因 |
| 目标平台 | Linux |
| 感染链位置 | 投放 → 执行 |
通用 IoT 投放脚本 (1KB)，使用 wget 下载并执行远程 Payload。C2: http://129.121.110.105。