尧图网络 高端网站定制 · 原创设计
免费咨询热线
400-888-6620
免费获取方案
【AI逆向】APT组织“蔓灵花”某恶意样本分析报告
恶意样本AI分析报告一、基本信息项目内容SHA256a850a903b74c1d3d21c41e03761e8e64b43962269e7649940b10368a005bce20MD5c0a438d69ae731ad705c46ac5209c8cc架构32位 Windows PE基址0x400000映像大小0x35000节区.text(rx),.idata®,.rdata®,.data(rw)函数总数618含 502 个未命名函数编译环境MSVC (VCRUNTIME140, MSVCP140)二、C2 通信配置项目值C2 域名pololiberty.comC2 端口56218(0xDB9A)通信协议HTTP/1.1命令获取HTTP GET 请求数据上传HTTP POST (multipart/form-databoundary:----BoostAsioBoundary)重连机制连接失败每 5 秒重试异步框架Boost.Asio Windows IOCP (CreateIoCompletionPort)单实例保护mutex 机制C2 域名pololiberty.com存储在.rdata段0x425d6c由sub_401020在初始化时写入全局变量dword_4307BC最终通过getaddrinfo进行 DNS 解析。端口56218在WinMain (0x40F900)硬编码。三、核心功能模块3.1 系统信息收集 (sub_40A120)GetUserNameW→ 获取当前用户名GetComputerNameW→ 获取计算机名GetModuleFileNameW→ 获取自身执行路径将收集的信息拼接后发送给 C23.2 磁盘/文件系统枚举 (sub_40B570/sub_40C190/sub_40C980)GetLogicalDrives→ 枚举所有逻辑驱动器GetDriveTypeW→ 检测驱动器类型GetVolumeInformationW→ 获取卷信息GetDiskFreeSpaceExW→ 获取磁盘剩余空间FindFirstFileW/FindNextFileW→ 递归遍历目录文件列表使用FOLNM和SZ标签标记3.3 进程管理 (sub_40CC30)CreateProcessW→ 创建新进程OpenProcessTerminateProcess→ 终止指定进程支持按 PID 操作3.4 文件操作 (sub_40CC30)_wremove→ 删除文件_wrename→ 重命名/移动文件fread/fwrite→ 文件读写文件上传通过 HTTP POST multipart/form-data3.5 屏幕截图 (sub_40B0E0→sub_406040)GetDC→ 获取桌面 DCEnumDisplaySettingsA→ 获取屏幕分辨率CreateCompatibleDC/CreateCompatibleBitmap→ 创建内存位图BitBlt/StretchBlt→ 屏幕内容拷贝GdiplusStartup→ 初始化 GDIGdipCreateBitmapFromHBITMAP→ HBITMAP 转 GDI BitmapGdipSaveImageToStream→ 编码为 JPEG/PNG 写入流CreateStreamOnHGlobal→ 创建内存流截图保存路径:C:\users\public\pictures\ss.jpg四、关键函数映射地址函数名功能0x40F7A0WinMain主循环初始化并连接 C20x404100sub_404100初始化 IOCP ASIO 框架0x4032D0sub_4032D0创建 Win IOCP 对象0x40A120sub_40A120收集系统信息0x40A040sub_40A040建立连接并进入命令循环0x40A9E0sub_40A9E0连接服务器含 resolveconnect0x40EF20sub_40EF20命令分发入口0x40F000sub_40F000数据接收处理0x40CC30sub_40CC30命令执行核心switch-case 风格0x406760sub_406760构建 HTTP GET 请求0x4086F0sub_4086F0构建 HTTP POST multipart 上传0x412F90sub_412F90TCP 连接 DNS 解析0x413730sub_413730getaddrinfo封装DNS 解析0x40B0E0sub_40B0E0屏幕截图主函数0x406040sub_406040GDI 位图编码0x40B570sub_40B570磁盘驱动器枚举0x40C190sub_40C190文件目录递归遍历0x40ABC0sub_40ABC0文件搜索枚举五、执行流程Mermaid 图start (0x41FC06)__scrt_common_main_sehWinMain (0x40F7A0)sub_401020: 将 pololiberty.com 写入全局变量sub_404100: 初始化 IOCP ASIO[循环]sub_415A10: 设置 UnknownUser / UnknownHostNamesub_41AB50 sub_405A40: 配置 strand executorsub_419510: 初始化 tcp::resolversub_40A040: 执行连接sub_40A120: 收集系统信息sub_40A9E0: DNS解析 TCP连接sub_40EF20: 命令分发sub_40F000: 数据接收 → sub_40CC30: 命令执行命令处理分支sub_406760: HTTP GET (取命令)sub_4086F0: HTTP POST (上传文件)sub_40B570: 磁盘枚举sub_40C190/40C980: 文件枚举sub_40B0E0: 屏幕截图CreateProcessW / OpenProcess / TerminateProcess连接失败 → Sleep 5秒 → 重试六、威胁评估维度评级说明危害等级高具备完整 RAT 能力隐蔽性中使用合法 Boost.Asio 框架HTTP 流量混合在正常流量中功能完整度高文件管理、进程控制、屏幕监控、系统侦查反分析低未使用混淆、加密字符串、反调试或 hash-based API 解析API 解析方式直接导入无 ROR/ROL 指令无 GetProcAddress/LoadLibrary 调用
RELATED

相关推荐

AI期刊论文工具哪个好?2026年主流平台横向对比与选择建议

AI期刊论文工具哪个好?2026年主流平台横向对比与选择建议

如果您正在为期刊投稿反复调整参考文献格式,或想让初稿的学术深度匹配核心期刊要求,这一篇或许能帮您省下不少摸索时间。 选AI期刊论文工具,不能只看语言生成能力,更要看它是否内置期刊等级标准与参考文献规范。在2026年的工具生…

📅 2026/9/4 4:09:47
AI智能体越优化越崩?问题可能出在“规则堆砌“上——前后端权责分离才是正解

AI智能体越优化越崩?问题可能出在“规则堆砌“上——前后端权责分离才是正解

本期敖行客研发实战日记,负责人戢总监将以团队自研 AI 智能体的真实经历为切入点,聊聊一个很多团队都会遇到的坑:给 AI 加的规则越多,它反而越崩。完整复盘"前后端权责分离"的思路——让 AI 干它擅长的事,产…

📅 2026/8/22 18:40:39
LLM 推理部署优化全景:从显存原理到生产级加速方案

LLM 推理部署优化全景:从显存原理到生产级加速方案

LLM 推理部署优化全景:从显存原理到生产级加速方案 一、引言:推理优化是 AI 产品的生命线 2026年,大语言模型(LLM)已经全面渗透企业私有化部署、智能客服、垂直行业知识库等商业化场景。随着 Llama 4、DeepSeek-V3、…

📅 2026/9/8 11:12:18
MORE NEWS

更多资讯

📰

CBox央视影音客户端下载安装教程

概述 CBox 央视影音是央视网(中国网络电视台 CNTV)出品的官方视频客户端,提供央视及百余路卫视、地方频道的电视直播、时移回看、节目点播等功能,全部免费。本文讲清安装与核心功能使用。 一、下载与安装 从 CBox央视影音下载中…

📰

curl `--proto` 选项全解:精确限制传输协议、防御重定向攻击的实战指南

curl --proto 选项全解:精确限制传输协议、防御重定向攻击的实战指南 【免费下载链接】curl A command line tool and library for transferring data with URL syntax, supporting DICT, FILE, FTP, FTPS, GOPHER, GOPHERS, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS…

📰

GACNet:动态图注意力卷积实现高鲁棒点云语义分割

简介:本资源是一份面向三维视觉与深度学习从业者的点云分割实战项目,聚焦于非结构化点云数据的语义分割任务,适用于机器人感知、自动驾驶环境建模及三维重建等实际场景,适合具备PyTorch基础和点云处理经验的中高级开发者学习与复用…

📰

阶段边界决策树:在 Agent 会话中管理上下文与交接的完整指南(ask-matt / Phase Boundaries)

阶段边界决策树:在 Agent 会话中管理上下文与交接的完整指南(ask-matt / Phase Boundaries) 【免费下载链接】skills Skills for Real Engineers. Straight from my .agents directory. 项目地址: https://gitcode.com/GitHub_Trending/ski…

📰

职场健康管理:从争议通告看企业健康体系建设

1. 职场健康管理现状与反思最近一份关于"加班期间严禁私自死亡"的企业通告引发了广泛讨论。这份看似荒诞的公告背后,折射出当前职场健康管理的诸多问题。作为从业十余年的人力资源专家,我想从专业角度解析这个现象,并分享切实可行的…

📰

MATLAB判决反馈均衡器仿真:从LMS自适应到CMA盲均衡的原理与实现

简介:面向数字通信与信号处理方向的 MATLAB 判决反馈均衡(DFE)仿真程序,适合通信工程学生、算法工程师及对高速信道均衡技术感兴趣的开发者,用于理解前向均衡与反馈均衡协同消除码间干扰的过程。压缩包共75个文件&…

TODAY

今日更新

THIS WEEK

本周精选

THIS MONTH

本月热门

读完文章,想聊聊您的网站?

告诉我们您的行业与需求,资深顾问一对一梳理方案与报价,全程免费。

📞 💬