🟠 可疑 — 无壳 | 签名: 无 | Autorun Pro Enterprise II 安装器

ddf42fa0c0c9f5e7c33dfe7cc6743f812b796b53c759e6e19ec18daa6b98364e

MD5 5fb882846518a38b42b74348bb3a838b | 大小 634.5 KB | 来源 2020-02-25.zip | 分析日期 2026-08-07

Delphi 7 Autorun Pro 安装器伪造时间戳可疑捆绑

55%

置信度评分

Autorun Pro Enterprise II (可能恶意捆绑)

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

ddf42fa0c0c9f5e7c33dfe7cc6743f812b796b53c759e6e19ec18daa6b98364e

MD5

5fb882846518a38b42b74348bb3a838b

文件大小

634.5 KB

文件类型

PE32 EXE (GUI)

目标架构

x86

位宽

32-bit

字节序

编译器

Borland Delphi 7 (Enterprise)

链接方式

Dynamic (kernel32/user32/ole32等)

加壳/保护

无壳 (Delphi 7原生) | Installer: Autorun Pro Enterprise II

入口点

N/A

编译时间戳

1992-02-16 (伪造)

子系统

Windows GUI

数字签名

无签名

📌 概要

该样本是一个 Delphi 7 编译的 Autorun Pro Enterprise II 安装器，大小 634.5 KB。

Autorun Pro Enterprise II 是一款合法的 CD/DVD 自动运行菜单制作工具。然而，该样本出现在恶意软件包中 (与 RevengeRAT、NjRAT、AsyncRAT 等同包)，且时间戳为 1992年 (明显伪造)。

评估: 该安装器可能被用作恶意软件投放器，伪装为合法软件安装程序来绕过检测。导入大量 GUI/COM/OLE 函数 (200+ API)，符合合法安装器特征，但也可能捆绑了恶意载荷在资源段。

建议: 提取资源段检查是否有额外的 PE 载荷。

SHA256: ddf42fa0c0c9f5e7c33dfe7cc6743f81...

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
威胁类型	可能恶意安装器/Dropper	MEDIUM
编译器	Borland Delphi 7 Enterprise	MEDIUM
安装器	Autorun Pro Enterprise II	MEDIUM
时间戳	1992-02-16 (伪造)	HIGH
文件格式	PE32 EXE (x86)	MEDIUM
上下文风险	与RAT同包出现	HIGH

📌 证据→推理→结论
Delphi 7 编译 → Autorun Pro标识 → 时间戳伪造 → 与多款RAT同包

威胁情报

字段	值
关联组织	未知
别名	N/A
动机	可能经济利益
目标行业	个人用户
活动名称	2020年恶意软件传播
C2协议	N/A
C2基础设施	N/A

🎯 威胁组织判定
Autorun Pro Enterprise II 本身是合法软件，但在恶意软件包中出现 + 时间戳伪造提示可能被恶意利用。

★ §3 🔬 持久化机制

未检出持久化行为。

★ §3b 🌐 C2 架构分析

通联关系图

📋 ASCII 文本视图 (点击展开)

(无 ASCII 回退)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:

安装器本身无独立C2。若为Dropper则C2在释放的载荷中。

通道 1: N/A

协议	N/A
端口	N/A
地址/Domain	N/A
IP	N/A
加密	N/A
用途	N/A
API引用	N/A
证书	N/A

C2 通信时序

⚠ C2 基础设施评估

📌 ATT&CK 映射:

§4 🏗️ 结构分析

段/节区布局

.text (Delphi代码) / .rsrc (Autorun资源+可能载荷) / .data

熵值分析

段/节区	熵值	判定
.text	6.50	正常
.rsrc	7.10	偏高 (可能含嵌入载荷)

📊 熵值解读
无数据

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	Mirai	Gafgyt	Mozi	Hajime	LightAidra	KekSec	Tsunami	Kaiji	匹配

📌 家族归因结论
?

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

1. 安装器启动

行为: Delphi GUI安装向导

证据: CreateWindowExA + COM初始化

2. 资源提取

行为: 从资源段提取安装文件

证据: LoadResource + 大.rsrc段

3. 文件释放

行为: 释放Autorun菜单文件或恶意载荷

证据: SHGetSpecialFolderLocation + 文件API

协议/行为状态机

INIT→EXTRACT→INSTALL→RUN_PAYLOAD(可能)

📌 行为时序总结

GUI渲染: 1-3s. 安装: 3-10s.

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数

恶意性综合判定

误报排除论证

⚠ 判定结论

可疑 (可能为恶意捆绑安装器)

§9 🎯 ATT&CK 映射

Execution

Malicious File

PE32 Installer

Defense Evasion

Timestomp

时间戳伪造 (1992年)

Defense Evasion

Masquerading

伪装为Autorun Pro合法软件

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
反调试	可能	Delphi安装器常见	Medium
时间戳伪造	是	1992年明显异常	HIGH
混淆	否	Delphi原生	Easy

时间戳伪造为1992年 (Delphi 7 实际发布于2002年)，明显反取证行为。

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	N/A (Delphi, 未执行)
反编译输出	N/A
分析时长	N/A

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
~200+	~100+	6

📂 调用链拓扑 (点击展开)

WinMain→InitGUI→ExtractResources→Install→Run

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过 (可能为安装器)
网络隔离	N/A
执行结果	N/A
C2 数据

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
.rsrc	Autorun Pro Enterprise II	安装器标识	合法Autorun制作工具	MEDIUM
PE头	Timestamp: 1992-02-16	时间戳伪造	反取证/混淆编译时间	HIGH

📌 关键 IOC 解读

Delphi 7 + Autorun Pro + 同包RAT + 时间戳伪造 = 可疑捆绑投放。

⚠ 高威胁 IOC 汇总

时间戳伪造: 1992-02-16 (Delphi 7 发布于2002年) — 明显的反取证时间戳篡改

上下文关联: 同包含RevengeRAT/NjRAT/AsyncRAT — 出现在已知恶意软件包中

网络 IOC

—无

主机 IOC

SHA256ddf42fa0c0c9f5e7c33dfe7cc6743f812b796b53c759e6e19ec18daa6b98364e
文件类型PE32 EXE (Delphi 7, Autorun Pro)
时间戳1992-02-16 (伪造)

YARA 检测规则

rule Delphi_Autorun_Pro { strings: $d1 = "Autorun Pro" $d2 = "Delphi" condition: all of them and pe.timestamp < 700000000 }

§14 📋 最终判定

判定结果	可疑
恶意类型	安装器/打包器 (可能捆绑恶意载荷)
恶意家族	Autorun Pro Enterprise II (可能恶意捆绑)
威胁级别	MEDIUM
置信度	55% — 合法Autorun工具 + 恶意软件包内 + 伪造时间戳 = 可疑
关联组织	未知
目标平台	Windows x86
感染链位置	Stage 0 Dropper (可能)