🟢 良性 — Inno Setup 安装程序 | 签名: 无 | Delphi 编译

54d1d87a08600f28fcf8b9b64cee918e8cd65222c558b424503657f1cf0395c6

MD5 e6f97b56011c419e8339e1b9b7b9c92b | 大小 16,852,380 字节 (16457 KB) | 来源 2026-08-10.zip | 分析日期 2026-08-15

🟢 良性 Inno Setup

95%

置信度评分

Inno Setup 安装程序

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

54d1d87a08600f28fcf8b9b64cee918e8cd65222c558b424503657f1cf0395c6

MD5

e6f97b56011c419e8339e1b9b7b9c92b

文件大小

16,852,380 字节 (16457 KB)

文件类型

PE32 可执行文件 (GUI)

目标架构

x86

位宽

32-bit

字节序

Little-Endian

编译器

Delphi / Embarcadero (Inno Setup)

链接方式

动态链接

加壳/保护

无壳 (Inno Setup 安装程序)

入口点

PE 入口点

编译时间戳

N/A

子系统

Windows GUI

数字签名

无数字签名

📌 概要
该样本为 Inno Setup 安装程序 (PE32 GUI, Delphi/Embarcadero 编译, 16MB)。Inno Setup 是 Windows 平台流行的免费安装程序制作工具。Delphi 泛型类型 (BTDictionary, System.TypInfo.PTypeInfo) 和 Inno Setup 特有字符串 (TSetupEncryptionKey, CreateUninstallRegKey, NumISSigKeyEntries, sccPasswordTest) 确认其身份。唯一 URL 为 schemas.microsoft.com XML 命名空间声明。导入 DLL 包括 kernel32.dll、user32.dll、oleaut32.dll、advapi32.dll、comctl32.dll — 典型的 Delphi GUI 应用依赖。无 C2 通信、无数据窃取、无持久化恶意机制。判定为合法软件安装程序。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
恶意类型	非恶意软件 — Inno Setup 安装程序	LOW
编译器	Delphi / Embarcadero	N/A
安装程序	Inno Setup	N/A

📌 证据→推理→结论
file(1) → strings (Delphi 泛型 + Inno Setup 特征) → objdump 导入 → 判定为安装程序

威胁情报

字段	值
关联组织	N/A (合法软件)
别名	?
动机	?
目标行业	?
活动名称	?
C2协议	N/A
C2基础设施	N/A

🎯 威胁组织判定
N/A (合法软件)

★ §3 🔬 持久化机制

🔴 机制1: 无恶意持久化

位置	安装程序标准卸载注册表项
方法	Inno Setup 卸载程序
触发	N/A

反汇编证据:

CreateUninstallRegKey (标准卸载功能)

★ §3b 🌐 C2 架构分析

通联关系图

📋 ASCII 文本视图 (点击展开)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:
N/A

通道 1:

协议	N/A
端口
地址/Domain	N/A
IP	N/A
加密	N/A
用途	N/A
API引用
证书	N/A

C2 通信时序

N/A

⚠ C2 基础设施评估

N/A

📌 ATT&CK 映射: N/A

§4 🏗️ 结构分析

段/节区布局

熵值分析

段/节区	熵值	判定
.text	6.00	正常

📊 熵值解读
正常 Delphi 编译 PE 文件。

Delphi / Embarcadero (Inno Setup)

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

01.Inno Setup 安装程序启动 → 用户交互安装 → 注册表写入 + 文件释放

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	Inno Setup	F2	F3	F4	F5	F6	F7	F8	匹配

📌 家族归因结论
合法工具

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

阶段 1: 安装向导

行为: Inno Setup 标准安装流程，用户交互式安装

证据: Inno Setup 特征字符串

协议/行为状态机

📌 行为时序总结

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
恶意行为	无恶意行为 — 标准安装程序	50	1/10
授权	Inno Setup 是合法开源工具	50	1/10

恶意性综合判定

误报排除论证

合法 Inno Setup 安装程序

⚠ 判定结论

LOW — 良性安装程序

§9 🎯 ATT&CK 映射

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
无	无	无	无

无恶意反分析技术

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	跳过 (合法工具)
反编译输出	N/A
分析时长	N/A

Ghidra 反编译输出

/* 合法 Inno Setup 安装程序 — 跳过 Ghidra */

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
0	?	?

📂 调用链拓扑 (点击展开)

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过 (合法工具)
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
Strings	TSetupEncryptionKey	Inno Setup	安装程序加密密钥	LOW
Strings	CreateUninstallRegKey	Inno Setup	卸载注册表项	LOW
Strings	BTDictionary<System.Rtti.TRttiObject>	Delphi	Delphi 泛型集合	LOW

📌 关键 IOC 解读

所有字符串均为 Inno Setup 安装程序和 Delphi RTTI 特征，无恶意 IOC。

⚠ 高威胁 IOC 汇总

SHA256: 54d1d87a08600f28fcf8b9b64cee918e8cd65222c558b424503657f1cf0395c6 — 样本哈希

MD5: e6f97b56011c419e8339e1b9b7b9c92b — 样本 MD5

网络 IOC

—无

无恶意 IOC

主机 IOC

SHA25654d1d87a08600f28fcf8b9b64cee918e8cd65222c558b424503657f1cf0395c6

YARA 检测规则

§14 📋 最终判定

判定结果	🟢 良性
恶意类型	合法工具 — 软件安装程序
恶意家族	Inno Setup 安装程序
威胁级别	LOW
置信度	95% — Delphi 泛型 + Inno Setup 特征确认安装程序身份
关联组织	N/A (合法软件)
目标平台	Windows
感染链位置	N/A — 非恶意软件

⚡ 综合判定

Inno Setup 安装程序 (Delphi 编译)，无恶意行为。