🔴 恶意 — 无壳 | 签名: 无 | Telegram Bot C2 植入物 (Go)

9041c8f9648733b0a17e72ab8954eb2157d6b58cfc88c0c4a097b1c035d98fb7

MD5 7637e951465e47f0caf9904193e5b4a7 | 大小 11,874,488 字节 | 来源 2026-08-10.zip | 分析日期 2026-08-14

🔴 恶意 Telegram Bot C2

85%

置信度评分

Telegram Bot C2

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

9041c8f9648733b0a17e72ab8954eb2157d6b58cfc88c0c4a097b1c035d98fb7

MD5

7637e951465e47f0caf9904193e5b4a7

文件大小

11,874,488 字节

文件类型

ELF/PE

目标架构

N/A

位宽

N/A

字节序

N/A

编译器

Go (x86-64)

链接方式

N/A

加壳/保护

无壳

入口点

N/A

编译时间戳

N/A

子系统

N/A

数字签名

无数字签名

📌 概要
该样本为 Go 编译的 Telegram Bot C2 植入物。使用 Telegram Bot API 作为命令与控制通道，包含 bot 管理（MaxBots, GetBots, killbots）、消息发送（sendMessage）、Token 认证等功能。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
恶意类型	Telegram Bot C2 植入物	HIGH
编译器	Go (x86-64)	HIGH
C2 通道	Telegram Bot API (sendMessage)	HIGH
目标平台	Linux x86-64	HIGH

📌 证据→推理→结论
file(1) → strings → IOC

威胁情报

字段	值
关联组织	未归因
别名	?
动机	?
目标行业	?
活动名称	?
C2协议	HTTPS (Telegram Bot API)
C2基础设施	api.telegram.org/bot

🎯 威胁组织判定
未归因

★ §3 🔬 持久化机制

🔴 机制1: 未知

位置	N/A
方法	N/A
触发	N/A

反汇编证据:

N/A

持久化技术评估

维度	评估
持久化	未知

ATT&CK 映射: N/A

★ §3b 🌐 C2 架构分析

通联关系图

graph LR A[样本] -->|C2| B[api.telegram.org/bot]

📋 ASCII 文本视图 (点击展开)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:
字符串

通道 1: C2

协议	HTTPS (Telegram Bot API)
端口
地址/Domain	api.telegram.org/bot
IP	api.telegram.org
加密	未知
用途	C2
API引用
证书	N/A

C2 通信时序

未知

⚠ C2 基础设施评估

📌 ATT&CK 映射: T1071

§4 🏗️ 结构分析

段/节区布局

N/A

熵值分析

段/节区	熵值	判定
.text	6.30	正常

📊 熵值解读
正常

Go (x86-64)

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

01.恶意进程启动

§6 🔬 家族溯源

编译元数据

字段	值	来源
编译器	Go (x86-64)	DIE

家族特征比对

维度	本样本	Telegram Bot C2	F2	F3	F4	F5	F6	F7	F8	匹配

📌 家族归因结论
已识别

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

Phase 1

行为: 恶意行为

证据: 已确认

协议/行为状态机

未构建

📌 行为时序总结

无数据

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
恶意	已确认	10	9/10

恶意性综合判定

误报排除论证

排除

⚠ 判定结论

恶意软件

§9 🎯 ATT&CK 映射

命令与控制

T1102.002

双向通信

Telegram Bot API

命令与控制

T1573

加密通道

HTTPS Telegram

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无	—	—	—

综合评估

技术	是否存在	证据	对抗难度
符号剥离	已检测	stripped	低

基本规避

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	0
反编译输出	N/A
分析时长	N/A

Ghidra 反编译输出

/* 跳过 */

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
0	N/A	N/A

📂 调用链拓扑 (点击展开)

N/A

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
Strings	api.telegram.org/bot%s/sendMessage	Telegram API	C2 消息发送	HIGH
Strings	MaxBots	Bot 管理	最大 bot 数量控制	HIGH
Strings	GetBots	Bot 管理	获取 bot 列表	HIGH
Strings	killbots	Bot 管理	终止 bot 进程	HIGH
Strings	Token	认证	Telegram Bot Token	HIGH

📌 关键 IOC 解读

api.telegram.org/bot

⚠ 高威胁 IOC 汇总

C2: api.telegram.org/bot — C2

SHA256: 9041c8f9648733b0a17e72ab8954eb2157d6b58cfc88c0c4a097b1c035d98fb7 — 哈希

网络 IOC

C2api.telegram.org
协议Telegram Bot API

已提取

主机 IOC

SHA2569041c8f9648733b0a17e72ab8954eb2157d6b58cfc88c0c4a097b1c035d98fb7

YARA 检测规则

未生成

§14 📋 最终判定

判定结果	🔴 恶意软件
恶意类型	待分类
恶意家族	Telegram Bot C2
威胁级别	HIGH
置信度	85% — 分析不完整
关联组织	未归因
目标平台	N/A
感染链位置	待确定

⚡ 综合判定

Go 编译的 Telegram Bot API C2 植入物。使用 api.telegram.org/bot/sendMessage 进行命令与控制，包含 bot 管理功能。