🔴 恶意 — 壳: ConfuserEx v1.0.1 | 签名: 无 | ConfuserEx-.NET-Trojan

135732f938ca6b6e1fd1974ba172665d3c474b5346e035ea24c37b03500fb4e9

MD5 ac061db892ad8cd21a565996bdb33d5c | 大小 70144 | 来源 N/A | 分析日期 2026-08-08 12:18

85%

置信度评分

未归因

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

135732f938ca6b6e1fd1974ba172665d3c474b5346e035ea24c37b03500fb4e9

MD5

ac061db892ad8cd21a565996bdb33d5c

文件大小

70144

文件类型

PE32 executable (.NET assembly)

目标架构

PE32 (Intel 80386, .NET assembly)

位宽

N/A

字节序

N/A

编译器

.NET Framework v4.0 (ConfuserEx v1.0.1)

链接方式

N/A

加壳/保护

ConfuserEx v1.0.1

入口点

N/A

编译时间戳

N/A

子系统

N/A

数字签名

N/A

📌 概要
该样本为 .NET Framework v4.0 木马程序，使用 ConfuserEx v1.0.1 进行混淆保护。具备反调试能力（IsDebuggerPresent + NtQueryInformationProcess 双重检测），通过 Process.Start 执行任意进程（CreateNoWindow 隐藏窗口），内置 OLE DB 数据库连接能力（OleDbConnection/OleDbCommand），支持动态加载外部 .NET 程序集（Assembly.Load + AssemblyResolve），使用 Thread.Sleep 延迟执行对抗沙箱检测。嵌入加密资源（BKz#8$Bu'...resources），C2 配置和核心载荷可能存储其中。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
反调试	IsDebuggerPresent + NtQueryInformationProcess 双重检测	HIGH
反沙箱	Thread.Sleep 延迟执行	MEDIUM
进程执行	Process.Start + CreateNoWindow 隐藏窗口执行	HIGH
数据库访问	OleDbConnection / OleDbCommand OLE DB 连接	MEDIUM
动态加载	Assembly.Load + AppDomain.AssemblyResolve	HIGH
代码混淆	ConfuserEx v1.0.1 混淆器	HIGH
.NET 平台	Mono/.Net assembly, CLR v4.0.30319	HIGH

📌 证据→推理→结论
?

威胁情报

字段	值
关联组织	未归因
别名	?
动机	?
目标行业	?
活动名称	未知
C2协议	?
C2基础设施	?

🎯 威胁组织判定
未归因 — 通用 .NET 木马，ConfuserEx 混淆。无已知 APT 组织关联特征。

★ §3 🔬 持久化机制

未检出持久化行为。

★ §3b 🌐 C2 架构分析

通联关系图

📋 ASCII 文本视图 (点击展开)

(无 ASCII 回退)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:

通道 1: 实时 C2

协议
端口
地址/Domain
IP
加密
用途
API引用
证书

C2 通信时序

⚠ C2 基础设施评估

📌 ATT&CK 映射:

§4 🏗️ 结构分析

段/节区布局

N/A

熵值分析

段/节区	熵值	判定

📊 熵值解读
无数据

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	Mirai	Gafgyt	Mozi	Hajime	LightAidra	KekSec	Tsunami	Kaiji	匹配

📌 家族归因结论
?

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

1

行为: 初始化与反调试检测 — 调用 IsDebuggerPresent/NtQueryInformationProcess 检测调试器，若发现则通过 Environment.FailFast 立即终止

证据: ?

2

行为: 沙箱延迟对抗 — Thread.Sleep 延迟执行，对抗自动化沙箱分析

证据: ?

3

行为: 动态程序集加载 — 通过 Assembly.Load 从嵌入资源解密并加载核心载荷，使用 AssemblyResolve 事件处理依赖

证据: ?

4

行为: 持久化与进程执行 — 使用 Process.Start 执行任意命令（CreateNoWindow=True 隐藏窗口），可能通过 OLE DB 连接数据库窃取信息

证据: ?

5

行为: 数据窃取 — OleDbConnection 连接到外部数据库，可能用于数据回传

证据: ?

协议/行为状态机

未构建

📌 行为时序总结

无数据

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数

恶意性综合判定

误报排除论证

⚠ 判定结论

待判定

§9 🎯 ATT&CK 映射

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
反调试-IsDebuggerPresent	TRUE	kernel32.dll!IsDebuggerPresent API调用	低
反调试-NtQueryInformationProcess	TRUE	ntdll.dll!NtQueryInformationProcess 进程信息查询	中
反调试-Debugger.IsAttached	TRUE	System.Diagnostics.Debugger.IsAttached 托管检测	低
反沙箱-Thread.Sleep	TRUE	延迟执行对抗动态分析	低
代码混淆-ConfuserEx	TRUE	v1.0.1 控制流混淆+符号重命名+资源加密	高
动态加载-Assembly.Load	TRUE	运行时动态加载程序集	中

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	N/A
反编译输出	N/A
分析时长	N/A

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
0	0	0

📂 调用链拓扑 (点击展开)

N/A

★ §12 🔬 QEMU 动态分析

QEMU 模式	N/A
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
嵌入资源	BKz#8$Bu'1PINrpzd!\lkTRd!.resources	加密资源	ConfuserEx 加密的核心载荷资源	HIGH
嵌入资源	\,n\&auz3^HUvFH@1bFPI)7l2K.resources	加密资源	第二个加密资源	HIGH
字符串表	ConfuserEx v1.0.1	混淆器标识	确认混淆工具及版本	MEDIUM
字符串表	ConsoleApp9.exe	原始文件名	编译前原始程序集名称	LOW
字符串表	IsDebuggerPresent	反调试API	调试器检测	HIGH
字符串表	NtQueryInformationProcess	反调试API	Native 调试器检测	HIGH
字符串表	OleDbConnection	数据库API	OLE DB 数据库连接	MEDIUM
字符串表	System.Data.OleDb	命名空间	数据库命名空间引用	MEDIUM

📌 关键 IOC 解读

⚠ 高威胁 IOC 汇总

加密载荷: —

反调试组合: —

动态加载链: —

网络 IOC

—无

主机 IOC

—无

YARA 检测规则

未生成

§14 📋 最终判定

判定结果	待判定
恶意类型	待分类
恶意家族	未归因
威胁级别	MEDIUM
置信度	85% — 分析不完整
关联组织	未知
目标平台	PE32 (Intel 80386, .NET assembly)
感染链位置	待确定

🔴 恶意 — 壳: ConfuserEx v1.0.1 | 签名: 无 | ConfuserEx-.NET-Trojan

§1 📋 样本概要信息

§2 🏷️ 分类标签与威胁情报

分类标签

威胁情报

★ §3 🔬 持久化机制

★ §3b 🌐 C2 架构分析

通联关系图

🌐 C2 通信深度分析

通道 1: 实时 C2

C2 通信时序

⚠ C2 基础设施评估

§4 🏗️ 结构分析

段/节区布局

熵值分析

§5 ⚙️ 反汇编与行为流程

关键函数映射

系统调用分析

行为执行流

§6 🔬 家族溯源

编译元数据

家族特征比对

已知变种

§7 🔬 深度行为分析

行为阶段拆解

1

2

3

4

5

协议/行为状态机

📌 行为时序总结

§8 🔬 恶意性综合判定

多维度证据评估

误报排除论证

⚠ 判定结论

§9 🎯 ATT&CK 映射

§10 🛡️ 反分析技术评估

反调试

反虚拟机

综合评估

★ §10b 🧹 痕迹清理

§11 🔧 逆向分析

Ghidra 反编译

调用链分析 (GitNexus)

★ §12 🔬 QEMU 动态分析

§13 📦 IOC 汇总

IOC 字符串

📌 关键 IOC 解读

⚠ 高威胁 IOC 汇总

网络 IOC

主机 IOC

YARA 检测规则

§14 📋 最终判定

⚡ 综合判定