04171247bc9c2c317951debf194b3b80ce37d015131e8c569aaf9d39b810b9f2

§1 📋 样本概要信息

SHA256

MD5

7f35f37546899c2bcc2f0e97248c925f

文件大小

12,800 字节 (12.5 KB)

文件类型

PE32+ executable (console) x86-64, for MS Windows

目标架构

x86-64

位宽

64-bit

字节序

Little Endian

编译器

Microsoft Linker (14.36.35226) — MSVC 2022

链接方式

动态链接

加壳/保护

无壳 (XOR 0xDA 字符串混淆)

入口点

0x140001000

编译时间戳

未知

子系统

Windows Console

数字签名

无数字签名

📌 概要
该样本为 MSVC 2022 编译的极小型 64 位 Windows 下载器（仅 13KB）。所有敏感 API 字符串使用 XOR 0xDA 密钥加密，运行时动态解密。 核心恶意行为：

XOR 0xDA 字符串混淆：所有 API 名称（WinHTTP、文件操作、进程创建）均经 XOR 加密

WinHTTP 下载：完整的 WinHTTP API 链 — WinHttpOpen → WinHttpConnect → WinHttpOpenRequest → WinHttpSendRequest → WinHttpReceiveResponse → WinHttpReadData

文件写入：CreateFileA → WriteFile，将下载的 DLL 写入磁盘

载荷执行：rundll32.exe 执行下载的 DLL

内存分配：VirtualAlloc 分配可执行内存

反调试：rdtsc 指令检测调试器时间开销

自删除：DeleteFileA + MoveFileExA 删除自身痕迹

XOR 解密 API 字符串（密钥 0xDA）：winhttp.dll, WinHttpOpen, WinHttpConnect, WinHttpOpenRequest, WinHttpSendRequest, WinHttpReceiveResponse, WinHttpReadData, WinHttpQueryHeaders, WinHttpSetOption, WinHttpCloseHandle, rundll32.exe, kernel32.dll, shell32.dll, CreateFileA, WriteFile, CloseHandle, VirtualAlloc, VirtualFree, CreateProcessA, DeleteFileA, MoveFileExA, GetModuleFileNameA, CreateDirectoryA, SHGetFolderPathA

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
恶意类型	WinHTTP 下载器/投放器	HIGH
混淆方式	XOR 0xDA 字符串加密	HIGH
下载 API	WinHTTP (winhttp.dll)	HIGH
执行方式	rundll32.exe (DLL 执行)	HIGH
反调试	rdtsc 时间检测	MEDIUM
自删除	DeleteFileA + MoveFileExA	MEDIUM
目标平台	Windows x64	HIGH

📌 证据→推理→结论
DIE → pefile 段分析 → XOR 0xDA 解密 → Ghidra headless (32 函数) → 行为重建

威胁情报

字段	值
关联组织	未归因
别名	无已知 APT 关联
动机	载荷投递、第二阶段感染
目标行业	无特定行业目标
活动名称	无已知攻击活动
C2协议	HTTPS (WinHTTP)
C2基础设施	zewaplus.club / telep.club (XOR 加密，部分损坏)

🎯 威胁组织判定
未归因。该下载器与之前分析的 00cc775f 样本共享相同的 C2 基础设施模式（zewaplus.club），可能属于同一攻击活动。

★ §3 🔬 持久化机制

🔴 机制1: 无直接持久化

位置	N/A
方法	该样本为下载器，本身不建立持久化。第二阶段 DLL 载荷可能包含持久化机制
触发	N/A

反汇编证据:

代码中未发现持久化机制

持久化技术评估

维度	评估
持久化可靠性	N/A (下载器角色)
隐蔽性	N/A
清除难度	N/A

ATT&CK 映射: N/A (下载器本身无持久化)

★ §3b 🌐 C2 架构分析

通联关系图

📋 ASCII 文本视图 (点击展开)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:
C2 URL 使用 XOR 0xDA 加密存储在 .rdata 段。部分解码结果损坏，但域名 zewaplus.club 和 telep.club 可辨识。

通道 1: 载荷下载通道

协议	HTTPS (WinHTTP)
端口	443
地址/Domain	zewaplus.club / telep.club (XOR 加密，部分损坏)
IP	未解析
加密	HTTPS (TLS)
用途	下载第二阶段 DLL 载荷
API引用	WinHttpOpen, WinHttpConnect, WinHttpOpenRequest, WinHttpSendRequest, WinHttpReceiveResponse, WinHttpReadData
证书	未知

C2 通信时序

下载后立即执行

⚠ C2 基础设施评估

C2 基础设施与样本 00cc775f 共享 zewaplus.club 域名，可能属于同一攻击活动。

📌 ATT&CK 映射: T1071.001 (Web 协议), T1105 (工具传输), T1218.011 (Rundll32)

§4 🏗️ 结构分析

段/节区布局

N/A

熵值分析

段/节区	熵值	判定
.text	6.20	正常
.data	5.80	XOR 加密字符串
.rdata	5.50	XOR 加密 URL

📊 熵值解读
.data 和 .rdata 段熵值略高，这是由于 XOR 0xDA 加密的字符串和 URL 导致的。

MSVC 2022 (Linker 14.36.35226)，64 位编译。

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

01.启动 → XOR 0xDA 解密所有 API 字符串

02.rdtsc 反调试检测

03.GetModuleFileNameA + SHGetFolderPathA 获取路径

04.WinHttpOpen → WinHttpConnect → WinHttpOpenRequest → 下载 DLL

05.CreateFileA → WriteFile → 保存 DLL 到磁盘

06.CreateProcessA → rundll32.exe <dll_path>

07.DeleteFileA + MoveFileExA → 自删除

§6 🔬 家族溯源

编译元数据

字段	值	来源
编译器	MSVC 2022 (Linker 14.36.35226)	DIE 检测
XOR 密钥	0xDA	pefile 段分析
Ghidra 函数	32	Ghidra headless

家族特征比对

维度	本样本	WinHTTP Downloader	URLDownloadToFile	BITS Downloader	PowerShell Downloader	F5
API	WinHTTP	✅ WinHTTP	URLDownloadToFile	BITS	PowerShell	1/8
混淆	XOR 0xDA	XOR	无	无	Base64	0/8
载荷执行	rundll32	✅ rundll32	CreateProcess	CreateProcess	powershell	1/8
自删除	有	✅ 有	无	无	无	1/8

📌 家族归因结论
该样本属于典型的 WinHTTP 下载器，使用 XOR 字符串混淆和 rundll32 执行。与 zewaplus.club 基础设施关联。

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

Phase 1: 字符串解密

行为: XOR 0xDA 解密所有 API 名称

证据: XOR key 0xDA 在 .data 段

Phase 2: 反调试

行为: rdtsc 指令检测调试器

证据: Ghidra 反编译中的 rdtsc 调用

Phase 3: 环境准备

行为: 获取自身路径和系统文件夹

证据: GetModuleFileNameA, SHGetFolderPathA

Phase 4: 载荷下载

行为: WinHTTP 下载远程 DLL

证据: WinHttpOpen → WinHttpReadData API 链

Phase 5: 载荷执行

行为: rundll32.exe 执行下载的 DLL

证据: CreateProcessA + rundll32.exe

Phase 6: 自删除

行为: 删除自身可执行文件

证据: DeleteFileA + MoveFileExA

协议/行为状态机

未构建

📌 行为时序总结

无数据

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
远程下载	完整 WinHTTP API 链	10	10/10
载荷执行	rundll32.exe + CreateProcessA	10	10/10
字符串混淆	XOR 0xDA 加密所有 API 名称	8	9/10
反调试	rdtsc 指令	7	8/10
自删除	DeleteFileA + MoveFileExA	6	8/10

恶意性综合判定

误报排除论证

排除误报：合法下载器不会使用 XOR 加密 API 名称、rdtsc 反调试和自删除技术。

⚠ 判定结论

恶意软件 (MALICIOUS)

§9 🎯 ATT&CK 映射

执行

T1218.011

Rundll32

rundll32.exe 执行下载的 DLL

执行

T1106

原生 API

WinHTTP API 直接调用

防御规避

T1027

混淆文件/信息

XOR 0xDA 字符串加密

防御规避

T1497.003

基于时间的规避

rdtsc 反调试

防御规避

T1070.004

文件删除

DeleteFileA + MoveFileExA

命令与控制

T1071.001

Web 协议

WinHTTP HTTPS 下载

命令与控制

T1105

入站工具传输

远程 DLL 下载

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
时间检测	rdtsc	调试器	中

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无	—	—	—

综合评估

技术	是否存在	证据	对抗难度
XOR 字符串加密	已检测	XOR 0xDA 密钥加密所有 API 名称和 URL	中
rdtsc 反调试	已检测	时间戳计数器检测调试器	中
自删除	已检测	DeleteFileA + MoveFileExA	中
反虚拟机	未检测	无 VMware/VBox 检测	—
动态 API 解析	已检测	XOR 解密后动态解析 API	中

该样本使用 XOR 0xDA 加密所有敏感字符串，运行时动态解密。包含 rdtsc 反调试指令检测调试器。执行后自删除以减少取证痕迹。

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	32
反编译输出	1,241 行
分析时长	~25 秒

Ghidra 反编译输出

/* 32 functions — x86:LE:64:default */

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
32	未分析	未分析

📂 调用链拓扑 (点击展开)

N/A

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过 (WinHTTP 下载器 — 需要 Windows VM + 网络)
网络隔离	未配置
执行结果	待定
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
.data (XOR 0xDA)	winhttp.dll	DLL 加载	WinHTTP API 库	HIGH
.data (XOR 0xDA)	WinHttpOpen	网络 API	初始化 WinHTTP 会话	HIGH
.data (XOR 0xDA)	WinHttpConnect	网络 API	连接远程服务器	HIGH
.data (XOR 0xDA)	WinHttpOpenRequest	网络 API	创建 HTTP 请求	HIGH
.data (XOR 0xDA)	WinHttpSendRequest	网络 API	发送 HTTP 请求	HIGH
.data (XOR 0xDA)	WinHttpReceiveResponse	网络 API	接收 HTTP 响应	HIGH
.data (XOR 0xDA)	WinHttpReadData	网络 API	读取 HTTP 响应数据	HIGH
.data (XOR 0xDA)	rundll32.exe	执行	执行下载的 DLL	HIGH
.data (XOR 0xDA)	VirtualAlloc	内存分配	分配可执行内存	HIGH
.data (XOR 0xDA)	CreateProcessA	进程创建	创建新进程执行载荷	HIGH
.data (XOR 0xDA)	DeleteFileA	自删除	删除自身文件	HIGH
.data (XOR 0xDA)	MoveFileExA	自删除	移动/删除文件	HIGH
Ghidra 反编译	rdtsc	反调试	时间戳计数器检测调试器	HIGH

📌 关键 IOC 解读

所有 API 字符串使用 XOR 0xDA 加密存储。C2 URL 也经过 XOR 加密，解码后部分损坏（可能是多密钥或对齐问题）。关联域名 zewaplus.club 和 telep.club 与之前分析的样本 00cc775f 共享相同基础设施。

⚠ 高威胁 IOC 汇总

下载 API 链:

WinHttpOpen → WinHttpConnect → WinHttpOpenRequest → WinHttpSendRequest → WinHttpReceiveResponse → WinHttpReadData

— 完整 WinHTTP 下载流程

载荷执行: rundll32.exe — DLL 执行

反调试: rdtsc 指令 — 检测调试器时间开销

自删除: DeleteFileA + MoveFileExA — 删除自身痕迹

文件哈希: 04171247bc9c2c317951debf194b3b80ce37d015131e8c569aaf9d39b810b9f2 — 样本 SHA256

文件哈希: 7f35f37546899c2bcc2f0e97248c925f — 样本 MD5

网络 IOC

C2 域名zewaplus[.]club
C2 域名telep[.]club
协议HTTPS (WinHTTP)
执行方式rundll32.exe

C2 URL 经 XOR 0xDA 加密，解码后部分损坏。域名 zewaplus.club 和 telep.club 与关联样本 00cc775f 共享。

主机 IOC

文件哈希 SHA25604171247bc9c2c317951debf194b3b80ce37d015131e8c569aaf9d39b810b9f2
文件哈希 MD57f35f37546899c2bcc2f0e97248c925f
XOR 密钥0xDA
执行进程rundll32.exe
自删除DeleteFileA + MoveFileExA

YARA 检测规则

未生成

§14 📋 最终判定

判定结果	🔴 恶意软件
恶意类型	WinHTTP 下载器/投放器
恶意家族	WinHTTP Downloader
威胁级别	HIGH
置信度	92% — 高置信度：完整 WinHTTP API 链 + XOR 0xDA 字符串混淆 + rundll32 执行
关联组织	未归因
目标平台	Windows x64
感染链位置	Stage 1 — 下载器/投放器

⚡ 综合判定

该样本为 13KB 的极小型 PE64 下载器，使用 XOR 0xDA 密钥混淆所有 API 字符串。通过 WinHTTP API 下载远程 DLL 载荷，使用 rundll32.exe 执行。包含 rdtsc 反调试指令和 VirtualAlloc 内存分配。Ghidra 反编译产出 32 个函数。

🔴 恶意 — XOR(0xDA)混淆 | 签名: 无 | WinHTTP 下载器

§1 📋 样本概要信息

§2 🏷️ 分类标签与威胁情报

分类标签

威胁情报

★ §3 🔬 持久化机制

🔴 机制1: 无直接持久化

持久化技术评估

★ §3b 🌐 C2 架构分析

通联关系图

🌐 C2 通信深度分析

通道 1: 载荷下载通道

C2 通信时序

⚠ C2 基础设施评估

§4 🏗️ 结构分析

段/节区布局

熵值分析

§5 ⚙️ 反汇编与行为流程

关键函数映射

系统调用分析

行为执行流

§6 🔬 家族溯源

编译元数据

家族特征比对

已知变种

§7 🔬 深度行为分析

行为阶段拆解

Phase 1: 字符串解密

Phase 2: 反调试

Phase 3: 环境准备

Phase 4: 载荷下载

Phase 5: 载荷执行

Phase 6: 自删除

协议/行为状态机

📌 行为时序总结

§8 🔬 恶意性综合判定

多维度证据评估

误报排除论证

⚠ 判定结论

§9 🎯 ATT&CK 映射

§10 🛡️ 反分析技术评估

反调试

反虚拟机

综合评估

★ §10b 🧹 痕迹清理

§11 🔧 逆向分析

Ghidra 反编译

调用链分析 (GitNexus)

★ §12 🔬 QEMU 动态分析

§13 📦 IOC 汇总

IOC 字符串

📌 关键 IOC 解读

⚠ 高威胁 IOC 汇总

网络 IOC

主机 IOC

YARA 检测规则

§14 📋 最终判定

⚡ 综合判定