🔴 恶意 — MSVC 2012 | 签名: 无 | 恶意 Setup 安装器 (Token 提权 + Mutex)

89f5e86a2ca62dee4ea9ea65d2235efb36528f987ba4d136326612f79cfe89a9

MD5 bdc5d7419f69b538a77b9397c5db01b6 | 大小 1,768,448 字节 (1727.0 KB) | 来源 2026-08-06.zip | 分析日期 2026-08-15

恶意安装器 Token 提权 Mutex Setup API rundll32 MSVC 2012

88%

置信度评分

Malicious Setup Installer

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

89f5e86a2ca62dee4ea9ea65d2235efb36528f987ba4d136326612f79cfe89a9

MD5

bdc5d7419f69b538a77b9397c5db01b6

文件大小

1,768,448 字节 (1727.0 KB)

文件类型

PE32+ executable (GUI) x86-64

目标架构

x86-64

位宽

64-bit

字节序

Little-Endian (LE)

编译器

Microsoft Visual C++ (MSVC 11.00, VS2012)

链接方式

动态链接

加壳/保护

无壳

入口点

0x1400080c0

编译时间戳

无 (stripped)

子系统

Windows GUI

数字签名

无数字签名

📌 概要
该样本为 Microsoft Visual C++ 2012 编译的 PE64 恶意安装器 (1.69 MB)。核心技术特征：(1) 使用 Windows Setup API 通过 rundll32.exe InstallHinfSection 安装恶意 INF 驱动/服务，这是恶意软件规避杀软的经典手法；(2) 调用 AdjustTokenPrivileges + LookupPrivilegeValueA 获取 SeShutdownPrivilege 特权，实现系统级权限提升；(3) CreateMutexA 创建互斥体确保单实例运行，防止重复感染；(4) CheckTokenMembership 检测当前进程权限级别；(5) DefaultInstall/DoInfInstall 实现自动化 INF 安装。Ghidra 反编译 93 个函数，核心恶意逻辑集中在 FUN_140001a74 (安装器)、FUN_140001ff4 (提权)、FUN_1400030a4 (互斥体)。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
恶意类型	恶意安装器 (Setup API 滥用)	HIGH
编译器	MSVC 2012 (11.00)	HIGH
提权	AdjustTokenPrivileges + SeShutdownPrivilege	HIGH
安装方式	rundll32 InstallHinfSection + setupx.dll	HIGH
防重复	CreateMutexA 互斥体	MEDIUM
权限检测	CheckTokenMembership	MEDIUM

📌 证据→推理→结论
file(1) → DIE → strings → Ghidra 93 函数反编译

威胁情报

字段	值
关联组织	未归因
别名
动机	持久化安装恶意组件 (驱动/服务)
目标行业	Windows 桌面/服务器
活动名称	恶意 INF 安装活动
C2协议	无直接 C2 (安装器/投放器)
C2基础设施	无

🎯 威胁组织判定
未归因

★ §3 🔬 持久化机制

🔴 机制1: INF 安装持久化

位置	通过 INF 文件安装
方法	rundll32 InstallHinfSection DefaultInstall
触发	系统启动/服务启动

反汇编证据:

rundll32.exe %s,InstallHinfSection %s 128 %s

★ §3b 🌐 C2 架构分析

通联关系图

graph LR A[恶意安装器] --> B[Token 提权] B --> C[setupx.dll] C --> D[rundll32 InstallHinfSection] D --> E[恶意驱动/服务] E --> F[持久化]

📋 ASCII 文本视图 (点击展开)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:
Ghidra 反编译 + strings

通道 1: 无直接 C2

协议	N/A (安装器/投放器)
端口
地址/Domain	无
IP	无
加密	无
用途	此样本为恶意安装器，无 C2 通信
API引用
证书	N/A

C2 通信时序

N/A

⚠ C2 基础设施评估

安装器/投放器，无 C2

📌 ATT&CK 映射: T1218.011

§4 🏗️ 结构分析

段/节区布局

熵值分析

段/节区	熵值	判定
.text	6.00	正常 — MSVC 编译代码

📊 熵值解读
正常 MSVC 编译二进制，无加壳迹象。

🔬 MSVC 2012 编译证据

MSVC DNA:
(1) Linker: Microsoft Linker(11.00.65501) = VS2012
(2) MSVC CRT 入口 (_initterm, _amsg_exit)
(3) _acmdln_exref 命令行解析
(4) _IsNonwritableInCurrentImage
(5) _guard_check_icall (Control Flow Guard)

🛡️ 安全机制

机制	状态
ASLR	✅ DYNAMIC_BASE
DEP (NX)	✅
CFG	✅ _guard_check_icall

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
0x1400080c0	entry	MSVC CRT 入口 → 初始化 → 调用恶意逻辑
0x140001a74	FUN_140001a74	恶意安装器 (rundll32 InstallHinfSection + setupx.dll)
0x140001ff4	FUN_140001ff4	Token 提权 (AdjustTokenPrivileges + SeShutdownPrivilege)
0x1400030a4	FUN_1400030a4	互斥体创建 (CreateMutexA 单实例保护)

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

01.MSVC CRT 入口 → GetStartupInfoW → 命令行解析

02.单实例检查 → CreateMutexA 互斥体

03.Token 提权 → OpenProcessToken → LookupPrivilegeValueA → AdjustTokenPrivileges (SeShutdownPrivilege)

04.权限检测 → CheckTokenMembership

05.INF 安装 → LoadLibrary(setupx.dll) → DoInfInstall(DefaultInstall)

06.rundll32.exe setupx.dll,InstallHinfSection DefaultInstall 128 <inf_path>

07.CreateProcessA 启动安装的恶意组件

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	Malicious Setup Installer	INF Dropper	Token Stealer
安装方式	setupx.dll InstallHinfSection	INF 安装	直接写入	0/8
提权	SeShutdownPrivilege	SeDebugPrivilege	无	0/8
编译器	MSVC 2012	MSVC	MSVC	0/8

📌 家族归因结论
利用 Windows Setup API 的恶意安装器，通过 Token 提权获取系统权限安装恶意驱动/服务。

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

阶段 1: CRT 初始化

行为: MSVC CRT entry → GetStartupInfoW → 命令行解析

证据: Ghidra: entry @ 0x1400080c0

阶段 2: 单实例保护

行为: CreateMutexA 创建互斥体，防止重复执行

证据: FUN_1400030a4: CreateMutexA

阶段 3: 权限提升

行为: OpenProcessToken → LookupPrivilegeValueA(SeShutdownPrivilege) → AdjustTokenPrivileges

证据: FUN_140001ff4: AdjustTokenPrivileges + SeShutdownPrivilege

阶段 4: 恶意 INF 安装

行为: LoadLibrary(setupx.dll) → DoInfInstall → rundll32 InstallHinfSection

证据: FUN_140001a74: rundll32.exe %s,InstallHinfSection %s 128 %s

阶段 5: 启动恶意组件

行为: CreateProcessA 启动安装的恶意驱动/服务

证据: CreateProcessA 导入

协议/行为状态机

📌 行为时序总结

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
权限提升	AdjustTokenPrivileges + SeShutdownPrivilege	25	10/10
恶意安装	setupx.dll InstallHinfSection 滥用	25	10/10
反检测	INF 安装规避杀软	20	8/10
单实例	CreateMutexA 互斥体	10	7/10
进程创建	CreateProcessA	10	7/10
授权	无合法授权	10	10/10

恶意性综合判定

误报排除论证

排除合法安装程序 → setupx.dll 滥用 + Token 提权 + 无数字签名 = 恶意

⚠ 判定结论

HIGH — 恶意安装器

§9 🎯 ATT&CK 映射

权限提升

T1134.001

Token 操纵/窃取

AdjustTokenPrivileges + SeShutdownPrivilege

执行

T1218.011

Rundll32

rundll32.exe setupx.dll,InstallHinfSection

持久化

T1547.001

注册表 Run Keys / 启动文件夹

INF 安装 (DefaultInstall) 可写入注册表持久化

防御规避

T1218

系统二进制代理执行

rundll32.exe 代理执行 INF 安装

防御规避

T1222.001

文件与目录权限修改

Token 提权后可修改系统文件 ACL

发现

T1082

系统信息发现

CheckTokenMembership 权限检测

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
动态 API 解析	已检测	GetProcAddress + LoadLibraryA	中 — 隐藏 IAT 导入
rundll32 代理	已检测	rundll32.exe InstallHinfSection	中 — 混淆执行链

动态 API 解析 + rundll32 代理执行 — 中等级别规避

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	93
反编译输出	146 KB
分析时长	~30s

Ghidra 反编译输出

/* 93 functions decompiled */
/* Key: FUN_140001a74 (Installer), FUN_140001ff4 (Token), FUN_1400030a4 (Mutex) */

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
93	?	?

📂 调用链拓扑 (点击展开)

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过 (PE64 安装器)
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
.rdata	AdjustTokenPrivileges	API	权限提升	HIGH
.rdata	SeShutdownPrivilege	Privilege	系统关机特权	HIGH
.rdata	LookupPrivilegeValueA	API	特权查询	HIGH
.rdata	OpenProcessToken	API	进程令牌获取	HIGH
.rdata	CheckTokenMembership	API	权限检测	MEDIUM
.rdata	CreateMutexA	API	单实例互斥体	MEDIUM
.rdata	setupx.dll	DLL	Windows Setup API	HIGH
.rdata	setupapi.dll	DLL	Windows Setup API	HIGH
.rdata	rundll32.exe %s,InstallHinfSection %s 128 %s	Command	INF 安装命令	HIGH
.rdata	DefaultInstall	Section	INF 默认安装段	HIGH
.rdata	DoInfInstall	API	INF 安装执行	HIGH
.rdata	CreateProcessA	API	进程创建	MEDIUM
.rdata	GetProcAddress	API	动态 API 解析	MEDIUM
.rdata	LoadLibraryA	API	动态库加载	MEDIUM

📌 关键 IOC 解读

无硬编码 C2 地址 — 此为安装器/投放器，目标是从外部 INF 文件安装恶意驱动或服务。

⚠ 高威胁 IOC 汇总

提权: AdjustTokenPrivileges + SeShutdownPrivilege — 系统级权限提升

安装方式: rundll32.exe InstallHinfSection — INF 驱动/服务安装 (规避杀软)

SHA256: 89f5e86a2ca62dee4ea9ea65d2235efb36528f987ba4d136326612f79cfe89a9 — 样本 SHA256

MD5: bdc5d7419f69b538a77b9397c5db01b6 — 样本 MD5

网络 IOC

协议无网络通信 (安装器/投放器)

安装器/投放器，无网络 IOC。重点监控 rundll32.exe 调用 setupx.dll InstallHinfSection。

主机 IOC

SHA25689f5e86a2ca62dee4ea9ea65d2235efb36528f987ba4d136326612f79cfe89a9
MD5bdc5d7419f69b538a77b9397c5db01b6
安装方式rundll32.exe setupx.dll,InstallHinfSection DefaultInstall 128
提权SeShutdownPrivilege

YARA 检测规则

rule Malicious_Setup_Installer_MSVC2012 {
    meta:
        description = "Malicious Setup Installer with Token Escalation"
        date = "2026-08-15"
    strings:
        $s1 = "AdjustTokenPrivileges"
        $s2 = "SeShutdownPrivilege"
        $s3 = "InstallHinfSection"
        $s4 = "setupx.dll"
        $s5 = "CreateMutexA"
        $s6 = "DefaultInstall"
    condition:
        uint16(0) == 0x5a4d and 4 of them
}

§14 📋 最终判定

判定结果	待判定
恶意类型	恶意安装器 (Token 提权 + 持久化安装)
恶意家族	Malicious Setup Installer
威胁级别	HIGH
置信度	88% — AdjustTokenPrivileges + SeShutdownPrivilege + InstallHinfSection + CreateMutexA 四重恶意特征
关联组织	未归因
目标平台	Windows (x86-64)
感染链位置	执行 → 提权 → 安装恶意组件 → 持久化

⚡ 综合判定

MSVC 2012 编译的 64 位恶意安装器，使用 Windows Setup API (setupx.dll/setupapi.dll) 通过 rundll32 InstallHinfSection 安装恶意组件。Token 提权 (SeShutdownPrivilege) + 互斥体单实例保护。