尧图网络 高端网站定制 · 原创设计
免费咨询热线
400-888-6620
免费获取方案
【AI逆向】APT组织“蔓灵花”某恶意样本分析报告
恶意样本AI分析报告一、基本信息项目内容SHA256a850a903b74c1d3d21c41e03761e8e64b43962269e7649940b10368a005bce20MD5c0a438d69ae731ad705c46ac5209c8cc架构32位 Windows PE基址0x400000映像大小0x35000节区.text(rx),.idata®,.rdata®,.data(rw)函数总数618含 502 个未命名函数编译环境MSVC (VCRUNTIME140, MSVCP140)二、C2 通信配置项目值C2 域名pololiberty.comC2 端口56218(0xDB9A)通信协议HTTP/1.1命令获取HTTP GET 请求数据上传HTTP POST (multipart/form-databoundary:----BoostAsioBoundary)重连机制连接失败每 5 秒重试异步框架Boost.Asio Windows IOCP (CreateIoCompletionPort)单实例保护mutex 机制C2 域名pololiberty.com存储在.rdata段0x425d6c由sub_401020在初始化时写入全局变量dword_4307BC最终通过getaddrinfo进行 DNS 解析。端口56218在WinMain (0x40F900)硬编码。三、核心功能模块3.1 系统信息收集 (sub_40A120)GetUserNameW→ 获取当前用户名GetComputerNameW→ 获取计算机名GetModuleFileNameW→ 获取自身执行路径将收集的信息拼接后发送给 C23.2 磁盘/文件系统枚举 (sub_40B570/sub_40C190/sub_40C980)GetLogicalDrives→ 枚举所有逻辑驱动器GetDriveTypeW→ 检测驱动器类型GetVolumeInformationW→ 获取卷信息GetDiskFreeSpaceExW→ 获取磁盘剩余空间FindFirstFileW/FindNextFileW→ 递归遍历目录文件列表使用FOLNM和SZ标签标记3.3 进程管理 (sub_40CC30)CreateProcessW→ 创建新进程OpenProcessTerminateProcess→ 终止指定进程支持按 PID 操作3.4 文件操作 (sub_40CC30)_wremove→ 删除文件_wrename→ 重命名/移动文件fread/fwrite→ 文件读写文件上传通过 HTTP POST multipart/form-data3.5 屏幕截图 (sub_40B0E0→sub_406040)GetDC→ 获取桌面 DCEnumDisplaySettingsA→ 获取屏幕分辨率CreateCompatibleDC/CreateCompatibleBitmap→ 创建内存位图BitBlt/StretchBlt→ 屏幕内容拷贝GdiplusStartup→ 初始化 GDIGdipCreateBitmapFromHBITMAP→ HBITMAP 转 GDI BitmapGdipSaveImageToStream→ 编码为 JPEG/PNG 写入流CreateStreamOnHGlobal→ 创建内存流截图保存路径:C:\users\public\pictures\ss.jpg四、关键函数映射地址函数名功能0x40F7A0WinMain主循环初始化并连接 C20x404100sub_404100初始化 IOCP ASIO 框架0x4032D0sub_4032D0创建 Win IOCP 对象0x40A120sub_40A120收集系统信息0x40A040sub_40A040建立连接并进入命令循环0x40A9E0sub_40A9E0连接服务器含 resolveconnect0x40EF20sub_40EF20命令分发入口0x40F000sub_40F000数据接收处理0x40CC30sub_40CC30命令执行核心switch-case 风格0x406760sub_406760构建 HTTP GET 请求0x4086F0sub_4086F0构建 HTTP POST multipart 上传0x412F90sub_412F90TCP 连接 DNS 解析0x413730sub_413730getaddrinfo封装DNS 解析0x40B0E0sub_40B0E0屏幕截图主函数0x406040sub_406040GDI 位图编码0x40B570sub_40B570磁盘驱动器枚举0x40C190sub_40C190文件目录递归遍历0x40ABC0sub_40ABC0文件搜索枚举五、执行流程Mermaid 图start (0x41FC06)__scrt_common_main_sehWinMain (0x40F7A0)sub_401020: 将 pololiberty.com 写入全局变量sub_404100: 初始化 IOCP ASIO[循环]sub_415A10: 设置 UnknownUser / UnknownHostNamesub_41AB50 sub_405A40: 配置 strand executorsub_419510: 初始化 tcp::resolversub_40A040: 执行连接sub_40A120: 收集系统信息sub_40A9E0: DNS解析 TCP连接sub_40EF20: 命令分发sub_40F000: 数据接收 → sub_40CC30: 命令执行命令处理分支sub_406760: HTTP GET (取命令)sub_4086F0: HTTP POST (上传文件)sub_40B570: 磁盘枚举sub_40C190/40C980: 文件枚举sub_40B0E0: 屏幕截图CreateProcessW / OpenProcess / TerminateProcess连接失败 → Sleep 5秒 → 重试六、威胁评估维度评级说明危害等级高具备完整 RAT 能力隐蔽性中使用合法 Boost.Asio 框架HTTP 流量混合在正常流量中功能完整度高文件管理、进程控制、屏幕监控、系统侦查反分析低未使用混淆、加密字符串、反调试或 hash-based API 解析API 解析方式直接导入无 ROR/ROL 指令无 GetProcAddress/LoadLibrary 调用
RELATED

相关推荐

AI期刊论文工具哪个好?2026年主流平台横向对比与选择建议

AI期刊论文工具哪个好?2026年主流平台横向对比与选择建议

如果您正在为期刊投稿反复调整参考文献格式,或想让初稿的学术深度匹配核心期刊要求,这一篇或许能帮您省下不少摸索时间。 选AI期刊论文工具,不能只看语言生成能力,更要看它是否内置期刊等级标准与参考文献规范。在2026年的工具生…

📅 2026/9/11 15:52:42
AI智能体越优化越崩?问题可能出在“规则堆砌“上——前后端权责分离才是正解

AI智能体越优化越崩?问题可能出在“规则堆砌“上——前后端权责分离才是正解

本期敖行客研发实战日记,负责人戢总监将以团队自研 AI 智能体的真实经历为切入点,聊聊一个很多团队都会遇到的坑:给 AI 加的规则越多,它反而越崩。完整复盘"前后端权责分离"的思路——让 AI 干它擅长的事,产…

📅 2026/10/17 19:19:42
LLM 推理部署优化全景:从显存原理到生产级加速方案

LLM 推理部署优化全景:从显存原理到生产级加速方案

LLM 推理部署优化全景:从显存原理到生产级加速方案 一、引言:推理优化是 AI 产品的生命线 2026年,大语言模型(LLM)已经全面渗透企业私有化部署、智能客服、垂直行业知识库等商业化场景。随着 Llama 4、DeepSeek-V3、…

📅 2026/10/18 7:15:01
MORE NEWS

更多资讯

📰

工地太忙根本没时间复习考试?低压电工证快速通过的良心建议

工地太忙根本没时间复习考试?低压电工证快速通过的良心建议 你是不是也经常在工地上忙得连轴转,连抽时间复习考试都成了奢望?低压电工证考试如果准备不充分,很可能就白忙一场,不仅浪费时间,还可能影响你的工作进度。这期内容就从新乡转岗从业者的角度出…

📰

清苑电工证培训机构在哪考?别再被中介坑了

清苑电工证培训机构在哪考?别再被中介坑了 你是不是也在为“清苑电工证培训机构在哪考”发愁?网上信息太多,真假难辨,稍不注意就被中介骗钱。其实,清苑电工证培训这块,政策越来越清晰,流程也越来越规范,关键是你得知道怎么选对机构、避开套路。本文从…

📰

特种工证丢失补办怎么报名全流程指南

特种工证丢失补办怎么报名全流程指南 你是不是也遇到过这种情况:特种工证找不到了,心里慌得一批, 学历不高怕报不上名 ?别急,今天我来带你一步一步搞定【特种工证丢失补办】的全流程, 怎么报名 都给你讲清楚,再也不用担心补办路上踩坑。…

📰

50岁电工证怎么考通过率揭秘:实操考试心里没底怕挂科?别慌!

50岁电工证怎么考通过率揭秘:实操考试心里没底怕挂科?别慌! 实操考试心里没底怕挂科?50岁还想着考电工证,担心年龄大了学不会、考不过?别慌,这事儿真没你想得那么难。特别是像你这种已经在行业内摸爬滚打了几十年的老电工,只要方法对,50岁考电…

📰

低压电工证快速通过的通过率揭秘,转岗电工必看

低压电工证快速通过的通过率揭秘,转岗电工必看 你是不是正在为找不到工作发愁?手里没有低压电工证,连面试机会都没有。这种时候, 低压电工证快速通过 就成了你最急迫的需求,但你又担心 通过率揭秘…

📰

六安电工证补助在哪考?证书过期了不知道怎么复审延期?

六安电工证补助在哪考?证书过期了不知道怎么复审延期? 你是不是也遇到过这种情况:特种作业证到期了,却不知道怎么复审延期?更头疼的是, 六安电工证补助 的政策变动频繁, 在哪考…

TODAY

今日更新

THIS WEEK

本周精选

THIS MONTH

本月热门

读完文章,想聊聊您的网站?

告诉我们您的行业与需求,资深顾问一对一梳理方案与报价,全程免费。

📞 💬