🔴 恶意 — 无壳 | 签名: 无 | .NET 加载器 (AMSI绕过 + .su C2)

32dffaea1d2a0713f83910f760ec3ad0562555ff2c2f4bb7edf5c3c0a37c7b89

MD5 0f4f5b9c26d16a8594b8bca526b824a8 | 大小 434,688 字节 (424.5 KB) | 来源 2026-08-06.zip | 分析日期 2026-08-15

🔴 恶意 .NET Loader (AMSI Bypass + .su C2)

90%

置信度评分

.NET Loader (AMSI Bypass + .su C2)

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

32dffaea1d2a0713f83910f760ec3ad0562555ff2c2f4bb7edf5c3c0a37c7b89

MD5

0f4f5b9c26d16a8594b8bca526b824a8

文件大小

434,688 字节 (424.5 KB)

文件类型

PE32/PE64 .NET Assembly

目标架构

x86/x64

位宽

32/64-bit

字节序

Little-Endian

编译器

.NET Framework

链接方式

动态链接

加壳/保护

无壳

入口点

_CorExeMain

编译时间戳

N/A

子系统

Windows GUI

数字签名

无数字签名

📌 概要
该样本为 .NET PE64 恶意加载器 (425KB)，技术含量极高：(1) AMSI 绕过: 通过 amsi.dll AmsiScanBuffer 禁用反恶意软件扫描接口，使恶意载荷不被检测；(2) ETW 补丁: 通过 ntdll.dll EtwEventWrite 禁用 Windows 事件跟踪，隐藏恶意行为；(3) 注册表持久化: 伪装为 RuntimeBroker (Base64: 'Microsoft\\RuntimeBroker')，写入 Run 键 (Base64: 'Software\\Microsoft\\Windows\\CurrentVersion\\Run') 和 SyncService；(4) C2 通信: 发现 .su TLD 域名 (p4c.su, +.su)，C2 字符串 ('C2', 'CTC2:')；(5) 加密载荷: keyObf/ivObf/keyMask/ivMask 混淆密钥，CryptoStreamMode/CipherMode/PaddingMode 加密配置；(6) 动态加载: payload + Load + Invoke + Thread + Marshal 反射加载。公司名 'Loader' 和 Assembly 名 'MyApplication.app' 是恶意软件典型命名。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
恶意类型	.NET 加载器 (AMSI/ETW 绕过 + 持久化)	HIGH
AMSI 绕过	AmsiScanBuffer 补丁	HIGH
ETW 绕过	EtwEventWrite 补丁	HIGH
持久化	Run 键 + RuntimeBroker 伪装 + SyncService	HIGH
C2	.su TLD (p4c.su)	HIGH
加密	keyObf/ivObf + CryptoStream	HIGH
动态加载	payload + Load + Invoke + Marshal	HIGH

📌 证据→推理→结论
file(1) → DIE → strings − .NET 命名空间/类型分类

威胁情报

字段	值
关联组织	未归因
别名	?
动机	?
目标行业	?
活动名称	?
C2协议	待确认
C2基础设施	待确认

🎯 威胁组织判定
未归因

★ §3 🔬 持久化机制

🔴 机制1: Run 键持久化

位置	HKCU\Software\Microsoft\Windows\CurrentVersion\Run
方法	RuntimeBroker 伪装写入
触发	用户登录

反汇编证据:

Base64: Software\Microsoft\Windows\CurrentVersion\Run + RuntimeBroker

🔴 机制2: SyncService 服务

位置	服务管理器
方法	syncsvc.exe 伪装
触发	系统启动

反汇编证据:

SyncService + syncsvc.exe

★ §3b 🌐 C2 架构分析

通联关系图

graph LR A[.NET 恶意软件] --> B[C2]

📋 ASCII 文本视图 (点击展开)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:
字符串分析

通道 1: C2

协议	待确认
端口
地址/Domain	待确认
IP	待确认
加密	待确认
用途	C2
API引用
证书	N/A

C2 通信时序

未知

⚠ C2 基础设施评估

📌 ATT&CK 映射: T1071

§4 🏗️ 结构分析

段/节区布局

熵值分析

段/节区	熵值	判定
.text	6.00	正常 .NET IL

📊 熵值解读
正常 .NET 程序集。

.NET Framework 编译

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

01..NET CLR 加载 → _CorExeMain → 恶意逻辑

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	.NET Loader (AMSI Bypass + .su C2)	F2	F3	F4	F5	F6	F7	F8	匹配

📌 家族归因结论
已识别

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

阶段 1: .NET CLR 初始化

行为: mscoree.dll _CorExeMain → CLR 启动

证据: mscoree.dll 导入

阶段 2: 恶意逻辑执行

行为: .NET PE64 加载器 (425KB)，AMSI 绕过 + ETW 补丁 + 注册表持久化 + .su TLD C2 + 加密载荷。

证据: 该样本为 .NET PE64 恶意加载器 (425KB)，技术含量极高：(1) AMSI 绕过: 通过 amsi.dll AmsiScanBuffer 禁用反恶意软件扫描接口，使恶意载荷不被检测；(2) ETW 补丁: 通过 ntdll.dll EtwEventWrite 禁用 Windows 事件跟踪，隐藏恶意行为；(3) 注册表持久化: 伪装为 RuntimeBroker (Base64: '

协议/行为状态机

📌 行为时序总结

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
恶意行为	.NET PE64 加载器 (425KB)，AMSI 绕过 + ETW 补丁 + 注册表持久化 + .su TLD C2 + 加密载荷。	50	10/10
授权	无合法授权	50	10/10

恶意性综合判定

误报排除论证

排除合法 .NET 应用

⚠ 判定结论

HIGH — 恶意

§9 🎯 ATT&CK 映射

防御规避

T1562.001

禁用或修改工具

AmsiScanBuffer 绕过反恶意软件扫描接口

防御规避

T1562.006

指标阻断

EtwEventWrite 补丁禁用 ETW 事件跟踪

防御规避

T1036.003

重命名系统工具

伪装为 RuntimeBroker.exe

持久化

T1547.001

注册表 Run Keys

Base64: Software\Microsoft\Windows\CurrentVersion\Run

持久化

T1543.003

Windows 服务

SyncService (syncsvc.exe)

命令与控制

T1071.001

Web 协议

C2 字符串 + .su TLD

执行

T1620

反射代码加载

payload + Load + Invoke + Marshal

防御规避

T1027

混淆文件或信息

keyObf/ivObf/keyMask/ivMask 密钥混淆

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
.NET 混淆	已检测	.NET 编译	中

.NET 编译 + 命名空间混淆

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	0 (跳过 — .NET IL)
反编译输出	N/A
分析时长	N/A

Ghidra 反编译输出

/* .NET 程序集 — 跳过 Ghidra */

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
0	?	?

📂 调用链拓扑 (点击展开)

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过 (.NET)
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
Strings	AmsiScanBuffer	AMSI Bypass	禁用反恶意软件扫描	HIGH
Strings	EtwEventWrite	ETW Bypass	禁用事件跟踪	HIGH
Strings	Microsoft\\RuntimeBroker (Base64)	Persistence	伪装 RuntimeBroker 持久化	HIGH
Strings	Software\\Microsoft\\Windows\\CurrentVersion\\Run (Base64)	Persistence	Run 键持久化	HIGH
Strings	p4c.su	C2 Domain	.su TLD C2 域名	HIGH
Strings	CTC2:	C2	C2 通信标识	HIGH
Strings	keyObf/keyMask	Crypto	密钥混淆	HIGH
Strings	CryptoStreamMode	Crypto	加密流模式	HIGH
Strings	SyncService	Persistence	伪装服务持久化	HIGH
Strings	MyApplication.app	Assembly	恶意 Assembly 名称	MEDIUM

📌 关键 IOC 解读

基于 .NET 命名空间和类型分类的 IOC 提取。

⚠ 高威胁 IOC 汇总

SHA256: 32dffaea1d2a0713f83910f760ec3ad0562555ff2c2f4bb7edf5c3c0a37c7b89 — 样本哈希

MD5: 0f4f5b9c26d16a8594b8bca526b824a8 — 样本 MD5

网络 IOC

C2待确认

已提取

主机 IOC

SHA25632dffaea1d2a0713f83910f760ec3ad0562555ff2c2f4bb7edf5c3c0a37c7b89

YARA 检测规则

§14 📋 最终判定

判定结果	🔴 CRITICAL — 恶意代码
恶意类型	.NET Loader (AMSI Bypass + .su C2)
恶意家族	.NET Loader (AMSI Bypass + .su C2)
威胁级别	HIGH
置信度	90% — .NET 命名空间 + 类型分类确认
关联组织	未归因
目标平台	Windows
感染链位置	执行 → 持久化 → C2 通信

⚡ 综合判定

.NET PE64 加载器 (425KB)，AMSI 绕过 + ETW 补丁 + 注册表持久化 + .su TLD C2 + 加密载荷。