{"id":"d9af62093c5381db6d09e165ed2c9129","title":"Inno Setup 6.7.0 Trojanized Installer — Inno Setup 6.7.0 Trojanized Installer · 木马/恶意软件 · PE32","md5":"d9af62093c5381db6d09e165ed2c9129","sha256":"bf7fbbfcce88950f1b509cdd2e733d39032f4ee747069c3fded34cecc664fdc8","family":"Inno Setup 6.7.0 Trojanized Installer","apt":null,"verdict":null,"sample_type":"木马/恶意软件","lang":"Delphi","file_format":"PE32","compiler":"Delphi/VCL Inno Setup 6.7.0","published_at":"2026-08-14T16:00:00.000Z","summary":"该样本是一个 使用 Inno Setup 6.7.0 打包的木马化安装程序，伪装为合法的 Windows GUI 安装向导。通过 Delphi/VCL 框架编译，内部嵌入加密的恶意载荷。 技术分析要点： 安装程序框架：Inno Setup 6.7.0 Setup Data + Inno Setup 6.5.0 Messages，使用 LZMA 压缩算法。Delphi/VCL 编译证据包括 TComponent、TThread、TMemoryStream、TList、TDictionary 等 VCL 运行时类型。 加密载荷：TSetupEncryptionKey、TSetupEncryptionNonce、FDecrypt、FCryptContext、InitDecryption 等函数表明载荷使用 Inno Setup 内置加密保护。BCryptGenRandom 用于密钥生成。 恶意能力：VirtualAlloc + VirtualProtect (内存分配/权限修改 → 代码注入)，CreateProcessW (子进程创建)，WriteFile/ReadFile (文件操作)，RegOpenKeyExW/RegQueryValueExW (注册表持久化)，AdjustTokenPrivileges/LookupPrivilegeValueW (权限提升)，CreateThread/SuspendThread/ResumeThread (线程控制)。 高熵值段：.text (6.38), .itext (6.04), .reloc (6.70) 表明部分代码可能被混淆或加密。 威胁评估：Inno Setup 木马化安装包是常见的恶意软件分发技术，攻击者将恶意载荷捆绑在合法软件安装程序中，利用用户对安装向导的信任绕过安全检测。加密载荷使静态分析难以提取最终 payload，需要动态执行或内存 dump 才能完整还原。该样本的导入表暴露了完整的恶意能力集 (内存注入 + 进程创建 + 注册表持久化 + 权限提升)，威胁等级为 HIGH。","url":"https://zseceye.com/report/d9af62093c5381db6d09e165ed2c9129","json_url":"https://zseceye.com/report/d9af62093c5381db6d09e165ed2c9129.json","html_url":"https://zseceye.com/report/d9af62093c5381db6d09e165ed2c9129","hash_urls":{"md5":"https://zseceye.com/hash/d9af62093c5381db6d09e165ed2c9129","sha256":"https://zseceye.com/hash/bf7fbbfcce88950f1b509cdd2e733d39032f4ee747069c3fded34cecc664fdc8"},"search_urls":{"md5":"https://zseceye.com/?q=d9af62093c5381db6d09e165ed2c9129","sha256":"https://zseceye.com/?q=bf7fbbfcce88950f1b509cdd2e733d39032f4ee747069c3fded34cecc664fdc8"},"sample_download_url":"https://zseceye.com/report/d9af62093c5381db6d09e165ed2c9129/sample","sample_filename":"bf7fbbfc.zip","iocs":[],"ips":[]}