🔴 恶意 — ConfuserEx v1.0.1 | 签名: 无 | .NET 混淆木马 (ConsoleApp9)

135732f938ca6b6e1fd1974ba172665d3c474b5346e035ea24c37b03500fb4e9

MD5 ac061db892ad8cd21a565996bdb33d5c | 大小 70,144 字节 (68.5 KB) | 来源 2026-08-06.zip | 分析日期 2026-08-15

🔴 恶意 .NET Obfuscated Trojan (ConsoleApp9)

90%

置信度评分

.NET Obfuscated Trojan (ConsoleApp9)

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

135732f938ca6b6e1fd1974ba172665d3c474b5346e035ea24c37b03500fb4e9

MD5

ac061db892ad8cd21a565996bdb33d5c

文件大小

70,144 字节 (68.5 KB)

文件类型

PE32/PE64 .NET Assembly

目标架构

x86/x64

位宽

32/64-bit

字节序

Little-Endian

编译器

.NET Framework

链接方式

动态链接

加壳/保护

无壳

入口点

_CorExeMain

编译时间戳

N/A

子系统

Windows GUI

数字签名

无数字签名

📌 概要
该样本为 ConfuserEx v1.0.1 混淆的 .NET PE32 可执行文件 (68KB)，伪装为合法控制台应用程序 ConsoleApp9.exe v1.0.0.0。ConfuserEx 是 .NET 混淆器，常用于恶意软件防检测。命名空间分析揭示其核心功能：(1) System.Data.OleDb — 数据库访问，可能用于窃取浏览器/应用数据；(2) System.Diagnostics — 进程操作，可执行/终止进程；(3) System.Reflection — 动态代码加载，可运行时加载恶意载荷；(4) System.Threading — 多线程，支持并发操作。混淆器 + 动态加载 + 数据库访问 + 进程操作 = 典型 .NET 信息窃取器/下载器。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
恶意类型	.NET 混淆木马 (信息窃取器/下载器)	HIGH
混淆器	ConfuserEx v1.0.1	HIGH
伪装	ConsoleApp9.exe (合法命名)	MEDIUM
数据库访问	System.Data.OleDb	MEDIUM
动态加载	System.Reflection	HIGH
进程操作	System.Diagnostics	MEDIUM

📌 证据→推理→结论
file(1) → DIE → strings − .NET 命名空间/类型分类

威胁情报

字段	值
关联组织	未归因
别名	?
动机	?
目标行业	?
活动名称	?
C2协议	待确认
C2基础设施	待确认

🎯 威胁组织判定
未归因

★ §3 🔬 持久化机制

🔴 机制1: 待确认

位置	N/A
方法	待确认
触发	N/A

反汇编证据:

ConfuserEx 混淆阻碍分析

★ §3b 🌐 C2 架构分析

通联关系图

graph LR A[.NET 恶意软件] --> B[C2]

📋 ASCII 文本视图 (点击展开)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:
字符串分析

通道 1: C2

协议	待确认
端口
地址/Domain	待确认
IP	待确认
加密	待确认
用途	C2
API引用
证书	N/A

C2 通信时序

未知

⚠ C2 基础设施评估

📌 ATT&CK 映射: T1071

§4 🏗️ 结构分析

段/节区布局

熵值分析

段/节区	熵值	判定
.text	6.00	正常 .NET IL

📊 熵值解读
正常 .NET 程序集。

.NET Framework 编译

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

01..NET CLR 加载 → _CorExeMain → 恶意逻辑

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	.NET Obfuscated Trojan (ConsoleApp9)	F2	F3	F4	F5	F6	F7	F8	匹配

📌 家族归因结论
已识别

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

阶段 1: .NET CLR 初始化

行为: mscoree.dll _CorExeMain → CLR 启动

证据: mscoree.dll 导入

阶段 2: 恶意逻辑执行

行为: ConfuserEx v1.0.1 混淆的 .NET PE32 木马 (68KB)，伪装为 ConsoleApp9.exe。使用 OleDb 数据库访问 + System.Diagnostics 进程操作 + System.Reflection 动态加载。

证据: 该样本为 ConfuserEx v1.0.1 混淆的 .NET PE32 可执行文件 (68KB)，伪装为合法控制台应用程序 ConsoleApp9.exe v1.0.0.0。ConfuserEx 是 .NET 混淆器，常用于恶意软件防检测。命名空间分析揭示其核心功能：(1) System.Data.OleDb — 数据库访问，可能用于窃取浏览器/应用数据；(2) System.Diagnosti

协议/行为状态机

📌 行为时序总结

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
恶意行为	ConfuserEx v1.0.1 混淆的 .NET PE32 木马 (68KB)，伪装为 ConsoleApp9.exe。使用 OleDb 数据库访问 + System.Diagnostics 进程操作 + System.Reflection 动态加载。	50	10/10
授权	无合法授权	50	10/10

恶意性综合判定

误报排除论证

排除合法 .NET 应用

⚠ 判定结论

HIGH — 恶意

§9 🎯 ATT&CK 映射

防御规避

T1027.002

软件加壳

ConfuserEx v1.0.1 .NET 混淆器

防御规避

T1036.005

匹配合法名称

伪装为 ConsoleApp9.exe

执行

T1620

反射代码加载

System.Reflection 动态加载

凭证访问

T1555

密码存储凭证

System.Data.OleDb 数据库访问

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
.NET 混淆	已检测	.NET 编译	中

.NET 编译 + 命名空间混淆

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	0 (跳过 — .NET IL)
反编译输出	N/A
分析时长	N/A

Ghidra 反编译输出

/* .NET 程序集 — 跳过 Ghidra */

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
0	?	?

📂 调用链拓扑 (点击展开)

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过 (.NET)
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
Strings	ConfuserEx v1.0.1	Obfuscator	.NET 混淆器	HIGH
Strings	ConsoleApp9.exe	Filename	伪装文件名	MEDIUM
Strings	System.Data.OleDb	Namespace	数据库访问	MEDIUM
Strings	System.Reflection	Namespace	动态代码加载	HIGH
Strings	System.Diagnostics	Namespace	进程操作	MEDIUM

📌 关键 IOC 解读

基于 .NET 命名空间和类型分类的 IOC 提取。

⚠ 高威胁 IOC 汇总

SHA256: 135732f938ca6b6e1fd1974ba172665d3c474b5346e035ea24c37b03500fb4e9 — 样本哈希

MD5: ac061db892ad8cd21a565996bdb33d5c — 样本 MD5

网络 IOC

C2待确认

已提取

主机 IOC

SHA256135732f938ca6b6e1fd1974ba172665d3c474b5346e035ea24c37b03500fb4e9

YARA 检测规则

§14 📋 最终判定

判定结果	🔴 CRITICAL — 恶意代码
恶意类型	.NET Obfuscated Trojan (ConsoleApp9)
恶意家族	.NET Obfuscated Trojan (ConsoleApp9)
威胁级别	HIGH
置信度	90% — .NET 命名空间 + 类型分类确认
关联组织	未归因
目标平台	Windows
感染链位置	执行 → 持久化 → C2 通信

⚡ 综合判定

ConfuserEx v1.0.1 混淆的 .NET PE32 木马 (68KB)，伪装为 ConsoleApp9.exe。使用 OleDb 数据库访问 + System.Diagnostics 进程操作 + System.Reflection 动态加载。