🔴 恶意 — 无壳 | 签名: 无 | NanoCore RAT (VB.NET)

2055a6d22f882f79211a9209556b9d2e14498da87a112007e5fe0d3bf5cbd2fb

MD5 a0ebe1250b23cb60d919aa4e7dbd7e40 | 大小 207872 | 来源 N/A | 分析日期 2026-08-08 12:28

95%

置信度评分

未归因

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

2055a6d22f882f79211a9209556b9d2e14498da87a112007e5fe0d3bf5cbd2fb

MD5

a0ebe1250b23cb60d919aa4e7dbd7e40

文件大小

207872

文件类型

PE32 .NET assembly (VB.NET)

目标架构

x86 (PE32, .NET)

位宽

N/A

字节序

N/A

编译器

VB.NET (.NET Framework)

链接方式

N/A

加壳/保护

无壳

入口点

N/A

编译时间戳

N/A

子系统

N/A

数字签名

N/A

📌 概要
该样本为 VB.NET 编写的 NanoCore RAT（远程访问木马），通过 System.Net.Sockets.TcpClient 建立 TCP C2 通道，使用 DES + MD5 加密通信。内置 NanoCore 插件架构（ClientPlugin/IClientApp/IClientNetwork），支持模块化功能扩展：键盘记录、屏幕捕获、密码窃取、文件管理、注册表持久化。通过 Mutex 确保单实例运行。NanoCore 是知名的商业 RAT 工具，广泛用于网络犯罪。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
TCP C2通信	System.Net.Sockets.Socket — TCP Socket C2	HIGH
DES+MD5 加密	DESCryptoServiceProvider + MD5CryptoServiceProvider	HIGH
注册表持久化	Microsoft.Win32.Registry 注册表操作	HIGH
插件架构	NanoCore.ClientPlugin + IClientApp 可扩展模块	HIGH
Mutex 单实例	Mutex 防止重复运行	MEDIUM
数据压缩	System.IO.Compression 压缩传输	MEDIUM

📌 证据→推理→结论
?

威胁情报

字段	值
关联组织	未归因（商业RAT）
别名	?
动机	?
目标行业	?
活动名称	通用网络犯罪
C2协议	?
C2基础设施	?

🎯 威胁组织判定
未归因 — NanoCore 为商业 RAT，被多个网络犯罪组织使用，非特定 APT。

★ §3 🔬 持久化机制

未检出持久化行为。

★ §3b 🌐 C2 架构分析

通联关系图

📋 ASCII 文本视图 (点击展开)

(无 ASCII 回退)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:

通道 1: 实时 C2

协议
端口
地址/Domain
IP
加密
用途
API引用
证书

C2 通信时序

⚠ C2 基础设施评估

📌 ATT&CK 映射:

§4 🏗️ 结构分析

段/节区布局

N/A

熵值分析

段/节区	熵值	判定

📊 熵值解读
无数据

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	Mirai	Gafgyt	Mozi	Hajime	LightAidra	KekSec	Tsunami	Kaiji	匹配

📌 家族归因结论
?

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

1

行为: 初始化 — 创建 Mutex 确保单实例运行，加载插件模块

证据: ?

2

行为: C2 连接 — 通过 TCP Socket 连接 C2 服务器，DES+MD5 加密握手

证据: ?

3

行为: 注册表持久化 — 写入 Run 键实现开机自启动

证据: ?

4

行为: 远程控制 — 接收 C2 指令：键盘记录、屏幕捕获、文件操作、密码窃取

证据: ?

5

行为: 数据回传 — 压缩并加密窃取的数据通过 TCP 回传

证据: ?

协议/行为状态机

未构建

📌 行为时序总结

无数据

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数

恶意性综合判定

误报排除论证

⚠ 判定结论

待判定

§9 🎯 ATT&CK 映射

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
Mutex 单实例	TRUE	防止多实例干扰分析	低
加密通信	TRUE	DES+MD5 加密规避网络检测	中

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	N/A
反编译输出	N/A
分析时长	N/A

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
0	0	0

📂 调用链拓扑 (点击展开)

N/A

★ §12 🔬 QEMU 动态分析

QEMU 模式	N/A
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
字符串表	NanoCore Client	RAT家族标识	确认 NanoCore RAT 家族	HIGH
字符串表	NanoCore.ClientPlugin	命名空间	插件架构确认	HIGH
字符串表	DESCryptoServiceProvider	加密API	DES 加密通信	HIGH
字符串表	System.Net.Sockets.Socket	网络API	TCP C2 通信	HIGH
字符串表	Microsoft.Win32.Registry	注册表API	持久化机制	HIGH

📌 关键 IOC 解读

⚠ 高威胁 IOC 汇总

RAT家族: —

加密C2: —

网络 IOC

—无

主机 IOC

—无

YARA 检测规则

未生成

§14 📋 最终判定

判定结果	待判定
恶意类型	待分类
恶意家族	未归因
威胁级别	MEDIUM
置信度	95% — 分析不完整
关联组织	未知
目标平台	x86 (PE32, .NET)
感染链位置	待确定

🔴 恶意 — 无壳 | 签名: 无 | NanoCore RAT (VB.NET)

§1 📋 样本概要信息

§2 🏷️ 分类标签与威胁情报

分类标签

威胁情报

★ §3 🔬 持久化机制

★ §3b 🌐 C2 架构分析

通联关系图

🌐 C2 通信深度分析

通道 1: 实时 C2

C2 通信时序

⚠ C2 基础设施评估

§4 🏗️ 结构分析

段/节区布局

熵值分析

§5 ⚙️ 反汇编与行为流程

关键函数映射

系统调用分析

行为执行流

§6 🔬 家族溯源

编译元数据

家族特征比对

已知变种

§7 🔬 深度行为分析

行为阶段拆解

1

2

3

4

5

协议/行为状态机

📌 行为时序总结

§8 🔬 恶意性综合判定

多维度证据评估

误报排除论证

⚠ 判定结论

§9 🎯 ATT&CK 映射

§10 🛡️ 反分析技术评估

反调试

反虚拟机

综合评估

★ §10b 🧹 痕迹清理

§11 🔧 逆向分析

Ghidra 反编译

调用链分析 (GitNexus)

★ §12 🔬 QEMU 动态分析

§13 📦 IOC 汇总

IOC 字符串

📌 关键 IOC 解读

⚠ 高威胁 IOC 汇总

网络 IOC

主机 IOC

YARA 检测规则

§14 📋 最终判定

⚡ 综合判定