https://t1mmoc.github.io/tags/%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E5%88%86%E6%9E%90/ Recent content in 恶意软件分析 on Timmoc 的技术小屋 Hugo zh-cn Sat, 17 Oct 2026 15:46:00 +0800 https://t1mmoc.github.io/posts/2026-10-17-epl-self-hosting-shutdown/ Sat, 17 Oct 2026 15:46:00 +0800 https://t1mmoc.github.io/posts/2026-10-17-epl-self-hosting-shutdown/ 学生时代写过一对互保的关机程序，主程序 12 行、看守进程 10 行，可编译产物一个 7.4 MB、一个 7.9 MB。这篇先不运行任何东西，只靠量长度和比哈希就重建出它的 11 代家谱：两个工程容器里各检出 10 / 11 个合法 PE 头，按构建时间戳排序后从第三代起每代正好大 557,056 字节，而且每代都完整含住上一代、字节全等；资源名「图片1」和它后面那个 PE 头只差 11 字节。之后用 e-packager 把源码真解出来做交叉验证——它吐出的两个载荷文件，字节数和 md5 与我预测的第 10、11 代逐位相同。可迁移的点：等差数列怎么当嵌套深度的免费线索、PE 时间戳怎么反过来当构建日志、双进程守护为什么只能靠一个死循环批处理来解，以及「我这套方法扫不出来」和「这个格式读不了」是两件事。 https://t1mmoc.github.io/posts/2026-10-17-ai-rea-ransomware-report/ Sat, 17 Oct 2026 00:30:00 +0800 https://t1mmoc.github.io/posts/2026-10-17-ai-rea-ransomware-report/ 一句「拉 agent-mail 里面最新的逆向任务，注意是恶意样本，不要运行，进行纯静态分析，密码 infected」，16 分 50 秒之后收到一份成品勒索软件静态分析报告加一张行为链信息图。这篇复盘这 17 分钟里发生了什么：先纠正一个容易写歪的地方（反编译不在我这台电脑上跑），然后是把链路逐步还原、三处翻车（知识库里存的凭据已失效、unzip 不支持 AES、反编译输出是一整坨 JSON）、最该警惕的一幕（它拿 sudo 去翻我的凭据文件）、以及我逐条回指验收报告时挑出来的三处问题。样本是 WeaXor（Mallox 修订版），IOC 原样照发。