🔴 恶意 — PowerShell 投放脚本 | 签名: 无 | Base64 编码 Payload

ee9918abc39d7d0b46c5cf7891f5b845d0ae5acc0e88f22ecd6ad19099260651

MD5 c39c47ddef43b8bf7807d1c687bb96d3 | 大小 4551333 字节 (4445 KB) | 来源 2026-08-10.zip | 分析日期 2026-08-15

🔴 恶意投放脚本

95%

置信度评分

PowerShell Dropper

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

ee9918abc39d7d0b46c5cf7891f5b845d0ae5acc0e88f22ecd6ad19099260651

MD5

c39c47ddef43b8bf7807d1c687bb96d3

文件大小

4551333 字节 (4445 KB)

文件类型

脚本文件

目标架构

跨平台

位宽

N/A

字节序

N/A

编译器

N/A (解释型脚本)

链接方式

N/A

加壳/保护

无壳 (明文脚本)

入口点

脚本入口

编译时间戳

N/A

子系统

Windows

数字签名

无数字签名

📌 概要
PowerShell 恶意脚本 (4445KB)，使用 Base64 编码隐藏恶意 Payload。包含 WScript.Shell 执行和文件下载功能。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
恶意类型	PowerShell 投放器	HIGH
混淆方式	Base64 编码	HIGH
执行方式	WScript.Shell / cmd.exe	HIGH

📌 证据→推理→结论
file(1) → strings → 脚本内容分析

威胁情报

字段	值
关联组织	未归因
别名	?
动机	?
目标行业	?
活动名称	?
C2协议	HTTP
C2基础设施	extracted

🎯 威胁组织判定
未归因

★ §3 🔬 持久化机制

🔴 机制1: 待确认

位置	N/A
方法	待确认
触发	N/A

反汇编证据:

脚本投放器

★ §3b 🌐 C2 架构分析

通联关系图

📋 ASCII 文本视图 (点击展开)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:
脚本内容提取

通道 1: C2 通道

协议	HTTP
端口
地址/Domain	extracted
IP	extracted
加密	无
用途	Payload 下载
API引用
证书	N/A

C2 通信时序

即时

⚠ C2 基础设施评估

C2: extracted

📌 ATT&CK 映射: T1105, T1071.001

§4 🏗️ 结构分析

段/节区布局

熵值分析

段/节区	熵值	判定
N/A	4.50	低熵明文脚本

📊 熵值解读
明文脚本

N/A (解释型脚本)

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

01.脚本执行 → 下载 Payload → 执行恶意代码

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	Mirai 变种	Gafgyt	Mozi	Hajime	LightAidra	KekSec	Tsunami	Kaiji	匹配
IoT 投放模式	wget+chmod	✅	✅	✅	✅	✅	✅	✅	✅	0/8

📌 家族归因结论
IoT 僵尸网络投放脚本

已知变种

变种	架构	大小	编译器	特征	状态
base64	多架构	4445KB	Bash	无	已分析

§7 🔬 深度行为分析

行为阶段拆解

阶段 1: 脚本执行

行为: 脚本启动，准备环境

证据: 脚本内容

阶段 2: Payload 下载

行为: 从 C2 下载恶意 Payload

证据: wget/下载命令

阶段 3: 执行

行为: 运行下载的恶意代码

证据: chmod +x / 执行命令

协议/行为状态机

📌 行为时序总结

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
恶意行为	从远程 C2 下载并执行未授权代码	50	10/10
授权	无合法授权	50	10/10

恶意性综合判定

误报排除论证

排除合法脚本

⚠ 判定结论

HIGH — 恶意脚本

§9 🎯 ATT&CK 映射

执行

T1059.001

PowerShell

PowerShell 脚本执行

防御规避

T1027

混淆文件或信息

Base64 编码 Payload

执行

T1059.005

Visual Basic

WScript.Shell 执行

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
无	无	明文脚本	无

无混淆

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	N/A (脚本)
反编译输出	N/A
分析时长	N/A

Ghidra 反编译输出

/* 脚本 — 无需 Ghidra */

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
0	?	?

📂 调用链拓扑 (点击展开)

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过 (脚本)
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
Script	extracted	C2	C2 服务器	HIGH
Script	ee9918abc39d7d0b46c5cf7891f5b845d0ae5acc0e88f22ecd6ad19099260651	SHA256	样本哈希	HIGH

📌 关键 IOC 解读

恶意脚本投放器，C2: extracted

⚠ 高威胁 IOC 汇总

SHA256: ee9918abc39d7d0b46c5cf7891f5b845d0ae5acc0e88f22ecd6ad19099260651 — 样本哈希

MD5: c39c47ddef43b8bf7807d1c687bb96d3 — 样本 MD5

C2: extracted — C2 服务器

网络 IOC

C2extracted

C2: extracted

主机 IOC

SHA256ee9918abc39d7d0b46c5cf7891f5b845d0ae5acc0e88f22ecd6ad19099260651

YARA 检测规则

§14 📋 最终判定

判定结果	🔴 CRITICAL — 恶意代码
恶意类型	恶意脚本投放器
恶意家族	PowerShell Dropper
威胁级别	HIGH
置信度	95% — 恶意脚本特征确认
关联组织	未归因
目标平台	Windows
感染链位置	投放 → 下载 Payload → 执行

⚡ 综合判定

PowerShell 恶意脚本 (4445KB)，使用 Base64 编码隐藏恶意 Payload。包含 WScript.Shell 执行和文件下载功能。