🟢 良性 — Tor 匿名网络客户端 | 签名: 无 | 合法工具

6b866c187a0dee2fb751a8990d50dc1ed83f68e025720081e4d8e27097067dc8

MD5 5d132fb6ec6fac12f01687f2c0375353 | 大小 8,984,064 字节 (8774 KB) | 来源 work_0811 | 分析日期 2026-08-15

🟢 良性 Tor 客户端

98%

置信度评分

Tor 匿名网络客户端

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

6b866c187a0dee2fb751a8990d50dc1ed83f68e025720081e4d8e27097067dc8

MD5

5d132fb6ec6fac12f01687f2c0375353

文件大小

8,984,064 字节 (8774 KB)

文件类型

PE64 可执行文件 (控制台)

目标架构

x86-64

位宽

64-bit

字节序

Little-Endian

编译器

MinGW (GCC)

链接方式

动态链接

加壳/保护

无壳

入口点

PE 入口点

编译时间戳

N/A

子系统

Windows 控制台

数字签名

无数字签名

📌 概要
该样本为 Tor 匿名网络客户端 (PE64, MinGW 编译, 8.7MB)。Tor 是合法的匿名通信工具，使用洋葱路由技术隐藏用户 IP 地址。所有 16 个 URL 均指向 torproject.org 官方域名，包括 bridges.torproject.org、blog.torproject.org、bugs.torproject.org 等。导入 DLL 包括 KERNEL32.dll、WS2_32.dll、ADVAPI32.dll、IPHLPAPI.DLL、SHELL32.dll、USER32.dll — 典型的 Tor 网络工具依赖。检测到 VirtualAlloc/LoadLibrary/GetProcAddress 动态 API 解析 — Tor 用于插件加载，非恶意动态解析。无持久化机制、无进程注入、无窃密行为、无 C2 通信。判定为合法工具，非恶意软件。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
恶意类型	非恶意软件 — 合法 Tor 客户端	LOW
编译器	MinGW (GCC)	N/A
网络工具	Tor 匿名网络 (洋葱路由)	N/A
URL 归属	torproject.org (官方)	N/A

📌 证据→推理→结论
file(1) → DIE → strings → objdump 导入分析 → 判定为合法 Tor 客户端

威胁情报

字段	值
关联组织	N/A (合法软件)
别名	?
动机	?
目标行业	?
活动名称	?
C2协议	N/A
C2基础设施	N/A

🎯 威胁组织判定
N/A (合法软件)

★ §3 🔬 持久化机制

🔴 机制1: 无持久化

位置	N/A
方法	无
触发	N/A

反汇编证据:

合法 Tor 客户端，无持久化机制

★ §3b 🌐 C2 架构分析

通联关系图

📋 ASCII 文本视图 (点击展开)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:
N/A

通道 1:

协议	N/A (合法工具)
端口
地址/Domain	N/A
IP	N/A
加密	N/A
用途	N/A
API引用
证书	N/A

C2 通信时序

N/A

⚠ C2 基础设施评估

N/A

📌 ATT&CK 映射: N/A

§4 🏗️ 结构分析

段/节区布局

熵值分析

段/节区	熵值	判定
.text	6.00	正常

📊 熵值解读
正常 MinGW 编译 PE 文件。

MinGW (GCC) 编译

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

01.Tor 客户端启动 → 连接 Tor 网络 → 提供 SOCKS/HTTP 代理

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	Tor 客户端	F2	F3	F4	F5	F6	F7	F8	匹配

📌 家族归因结论
合法工具

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

阶段 1: 初始化

行为: Tor 客户端加载配置，建立洋葱路由电路

证据: torproject.org URL + SOCKS 代理支持

阶段 2: 代理服务

行为: 提供本地 SOCKS/HTTP 代理，匿名化网络流量

证据: http://%s@%s:%d 代理格式

协议/行为状态机

📌 行为时序总结

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
恶意行为	无恶意行为 — Tor 匿名网络客户端	50	1/10
授权	Tor 是合法开源软件	50	1/10

恶意性综合判定

误报排除论证

合法 Tor 客户端，非恶意软件

⚠ 判定结论

LOW — 良性合法工具

§9 🎯 ATT&CK 映射

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
无	无	无	无

无恶意反分析技术

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	跳过 (合法工具)
反编译输出	N/A
分析时长	N/A

Ghidra 反编译输出

/* 合法 Tor 客户端 — 跳过 Ghidra */

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
0	?	?

📂 调用链拓扑 (点击展开)

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过 (合法工具)
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
Strings	https://bridges.torproject.org/status?id=%s	URL	Tor 网桥获取	LOW
Strings	https://blog.torproject.org/lifecycle-of-a-new-relay	URL	Tor 官方博客	LOW
Strings	http://%s@%s:%d	URL 模板	Tor HTTP 代理格式	LOW
Strings	VirtualAlloc	API	内存分配 (Tor 插件加载)	LOW
Strings	GetProcAddress	API	动态 API 解析 (Tor 插件加载)	LOW

📌 关键 IOC 解读

所有 URL 指向 torproject.org 官方域名。VirtualAlloc/GetProcAddress 为 Tor 插件系统使用，非恶意动态解析。

⚠ 高威胁 IOC 汇总

SHA256: 6b866c187a0dee2fb751a8990d50dc1ed83f68e025720081e4d8e27097067dc8 — 样本哈希

MD5: 5d132fb6ec6fac12f01687f2c0375353 — 样本 MD5

网络 IOC

—无

无恶意 IOC

主机 IOC

SHA2566b866c187a0dee2fb751a8990d50dc1ed83f68e025720081e4d8e27097067dc8

YARA 检测规则

§14 📋 最终判定

判定结果	🟢 良性
恶意类型	合法工具 — Tor 客户端
恶意家族	Tor 匿名网络客户端
威胁级别	LOW
置信度	98% — 所有 URL 指向 torproject.org，无恶意指标
关联组织	N/A (合法软件)
目标平台	Windows
感染链位置	N/A — 非恶意软件

⚡ 综合判定

Tor 匿名网络客户端 (MinGW 编译)，无恶意行为。