🔴 恶意 — UPX 3.03 | 签名: 无 | VB6 信息窃取器 (UPX 加壳)

d8fc6ab0c070118651ca85c03f6da9ce8d56a607147b4de9e5b69689ba362adc

MD5 af241fb458af533000e082486980c6db | 大小 446,464 字节 | 来源 2026-08-10.zip | 分析日期 2026-08-14

🔴 恶意 VB6 InfoStealer (UPX)

85%

置信度评分

VB6 InfoStealer (UPX)

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

d8fc6ab0c070118651ca85c03f6da9ce8d56a607147b4de9e5b69689ba362adc

MD5

af241fb458af533000e082486980c6db

文件大小

446,464 字节

文件类型

PE32

目标架构

N/A

位宽

N/A

字节序

N/A

编译器

Visual Basic 6.00 Native + UPX 3.03

链接方式

N/A

加壳/保护

无壳

入口点

N/A

编译时间戳

N/A

子系统

N/A

数字签名

无数字签名

📌 概要
该样本为 Visual Basic 6.00 原生编译的 PE32 可执行文件，使用 UPX 3.03 加壳。字符串分析发现对浏览器数据目录的引用 (AVAST Software, BraveSoftware, Microsoft)，结合 wininet.dll 网络通信和 ShellExecuteA 执行能力，判定为浏览器信息窃取器。UPX 段 (UPX0/UPX1) 确认加壳。MSVBVM60.DLL 运行时依赖确认 VB6 编译。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
恶意类型	信息窃取器 (浏览器数据)	HIGH
编译器	Visual Basic 6.00 Native	HIGH
加壳	UPX 3.03	HIGH
目标	BraveSoftware/AVAST/Microsoft 浏览器	MEDIUM

📌 证据→推理→结论
file(1) → DIE → strings → IOC

威胁情报

字段	值
关联组织	未归因
别名	?
动机	?
目标行业	?
活动名称	?
C2协议	HTTP (wininet.dll)
C2基础设施	未发现 (需脱壳后分析)

🎯 威胁组织判定
未归因

★ §3 🔬 持久化机制

🔴 机制1: 未知

位置	N/A
方法	N/A
触发	N/A

反汇编证据:

N/A

持久化技术评估

维度	评估
持久化	未知

ATT&CK 映射: N/A

★ §3b 🌐 C2 架构分析

通联关系图

graph LR A[样本] --> B[未发现 (需脱壳后分析)]

📋 ASCII 文本视图 (点击展开)

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:
字符串

通道 1: C2

协议	HTTP (wininet.dll)
端口
地址/Domain	未发现 (需脱壳后分析)
IP	未发现
加密	未知
用途	C2
API引用
证书	N/A

C2 通信时序

未知

⚠ C2 基础设施评估

📌 ATT&CK 映射: T1071

§4 🏗️ 结构分析

段/节区布局

N/A

熵值分析

段/节区	熵值	判定
.text	6.30	正常

📊 熵值解读
正常

Visual Basic 6.00 Native + UPX 3.03

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

01.恶意进程

§6 🔬 家族溯源

编译元数据

字段	值	来源
编译器	Visual Basic 6.00 Native + UPX 3.03	DIE

家族特征比对

维度	本样本	VB6 InfoStealer (UPX)	F2	F3	F4	F5	F6	F7	F8	匹配

📌 家族归因结论
已识别

已知变种

变种	架构	大小	编译器	特征	状态
N/A

§7 🔬 深度行为分析

行为阶段拆解

Phase 1

行为: 恶意行为

证据: 已确认

协议/行为状态机

未构建

📌 行为时序总结

无数据

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
恶意	已确认	10	9/10

恶意性综合判定

误报排除论证

排除

⚠ 判定结论

恶意软件

§9 🎯 ATT&CK 映射

防御规避

T1027.002

软件加壳

UPX 3.03 (UPX0/UPX1 段)

凭证访问

T1555.003

Web 浏览器凭证

引用 BraveSoftware/AVAST Software/Microsoft 浏览器目录

命令与控制

T1071.001

Web 协议

wininet.dll 导入

执行

T1106

原生 API

ShellExecuteA 执行外部程序

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无	—	—	—

综合评估

技术	是否存在	证据	对抗难度
符号剥离	已检测	stripped	低

基本规避

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	0
反编译输出	N/A
分析时长	N/A

Ghidra 反编译输出

/* 跳过 */

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
0	?	?

📂 调用链拓扑 (点击展开)

N/A

★ §12 🔬 QEMU 动态分析

QEMU 模式	跳过
网络隔离	未配置
执行结果	N/A
C2 数据	无 C2 通信

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
Strings	UPX0/UPX1 (UPX 3.03)	加壳	UPX 压缩壳	HIGH
Strings	BraveSoftware	目标	Brave 浏览器数据路径	HIGH
Strings	AVAST Software	目标	AVAST 浏览器数据路径	HIGH
Strings	Microsoft	目标	Edge/IE 浏览器数据路径	HIGH
Strings	wininet.dll	DLL	HTTP 网络通信	MEDIUM
Strings	ShellExecuteA	API	执行外部程序	MEDIUM
Strings	MSVBVM60.DLL	运行时	Visual Basic 6 运行时	LOW

📌 关键 IOC 解读

未发现 (需脱壳后分析)

⚠ 高威胁 IOC 汇总

C2: 未发现 (需脱壳后分析) — C2 服务器

SHA256: d8fc6ab0c070118651ca85c03f6da9ce8d56a607147b4de9e5b69689ba362adc — 样本哈希

网络 IOC

协议wininet HTTP

已提取

主机 IOC

SHA256d8fc6ab0c070118651ca85c03f6da9ce8d56a607147b4de9e5b69689ba362adc

YARA 检测规则

未生成

§14 📋 最终判定

判定结果	🔴 恶意软件
恶意类型	待分类
恶意家族	VB6 InfoStealer (UPX)
威胁级别	HIGH
置信度	85% — 分析不完整
关联组织	未知
目标平台	N/A
感染链位置	待确定

⚡ 综合判定

Visual Basic 6.00 编译的信息窃取器，UPX 3.03 加壳。引用 AVAST Software/BraveSoftware/Microsoft 浏览器路径，ShellExecuteA + wininet.dll 执行和网络通信。