1. 问题背景网吧客户机桌面含 Public 桌面长期存在一批广告 exe入口典型如C:\Users\Administrator\Desktop\玩传~奇点我.exe33.6MB、2026新传奇.exe114KB、GG游戏租号.exe1.6MB。此前分析文章 163681231已定性其为 CPS 引流壳正规 VS 编译、无驻留进程、无公网 C2删不掉根因是监管客户端内核驱动 blt_amd64.sys/soc.sys 挂钩文件删除操作。问题在于样本会换文件名、换后缀出现在不同网吧、不同链接里。同一构建改名重传后仅凭看着像无法确认是否同一文件每次都要重新逆向。需要一个跨链接、跨网吧的样本留底机制——以 SHA256 为唯一身份配合编译指纹聚类命中即引用既有结论。2. 本次指纹采集环境本次在 macOS 上对同一批 6 个样本做了一次完整的静态指纹采集与哈希留底工具为 Detect It Easy v3.21Mac 版 diec与 shasum。3. 谬误溯源已有分析文章表格写三个都是 PE32、均未加商业壳无 VMP/Themida/UPX……这是正规编译器产物的有力证据。该表述有两处不严谨3.1 壳判定错误对玩传~奇点我.exe用 diec 深度扫描-d结果明确为Protector: VMProtect(new)[DS]该结果在 7-23 旧报告Windows diec.exe与本次 Mac diec -d 两次独立检出中一致。文章所称无 VMP与两次工具实测矛盾。3.2 推理链不成立文章用编译器指纹正规证伪木马自保样本画像——这本身成立有 LTCG、绝对 PDB 路径、pogo 优化信息确为 VS2022 正经编译但正规编译与外层套 VMProtect并不互斥推广商完全可以用 VS2022 编译核心逻辑后整体套 VMP 防篡改。编译指纹不能作为无壳证据壳检测必须依赖专门的保护器识别而非编译痕迹。4. 正确结论修正正确结论应修正为代码为正规 VS2022 编译产物但外层存在 VMProtect 虚拟化保护两者并存。5. 源码验证为验证上述结论并建立跨链接、跨网吧的样本留底机制本次在 macOS arm64 上对同一批 6 个样本做了完整的静态指纹采集与哈希留底。采集命令如下diec -d -u -e 样本.exe # 深度启发式熵识别壳与编译器 shasum -a 256 *.exe # SHA256 留底判壳阈值总熵大于 7.5 视为 packed节熵大于 7.9 且体积占比大视为压缩或加密载荷diec 输出Protector:行即为商业保护器VMP/Themida 等。无壳样本如 2026新传奇.exe 总熵 6.25各节均小于 6.5。5.1 哈希留底SHA256样本大小SHA256玩传~奇点我.exe33MBaa912bc89f1f63bfe6663bc341a5b878b7da5457b1db555e41e4c5d4834baa7d玩Ξ传う奇请点我.exe33MBfa993c34209047eb9f56d36e91bc74fc8afa0de91a17f8d47a7fae8c7e0c078aGG游戏租号.exe1.6MBc49c18e46aad53a627fafc88ec4c3fd3147179472c5d0c886ed45fd7123c2baa0氪打金【传奇首选】.exe5.8MBd89eba570772f1caccbf925c54cd3bb4ed741ce4602bc44b2654eaa3fafd490e一元租号.exe2.4MB498d6baa5da8ca5572c79205a762d7bda6633745c48673b5582e452ee6623bc42026新传奇.exe112KBd8e427e002cde9940b15837af1076a4728f3109cd9ecdd79dad26fff1f0aefd45.2 编译指纹diec 实测样本编译器壳/熵备注玩传~奇点我MSVC 19.44 VS2022VMProtect(new)总熵 7.70.data 31.6MB7.74libcurl本地IPC玩Ξ传う奇请点我MSVC 19.44 VS2022packed总熵 7.71同族变体编译号 35207GG游戏租号MSVC 14.00 VS2005packed熵 7.69.rsrc 内嵌PEWinRAR SFX0氪打金MSVC 14.00 VS2005packed熵 7.99.rsrc 5.8MB7.996一元租号MSVC 15.00 VS2008packed熵 7.64Overlay 1.8MB7.9972026新传奇MSVC 14.00 VS2005无壳熵 6.25纯跳转器唯一外联 hao.yxou.com5.3 家族聚类按编译指纹与壳特征可将 6 个样本归为四族VS2022 VMP 系#1/#231.6MB .data fptable 节 VMProtect专业推广。VS2005 SFX/资源系#3/#5.rsrc 高熵打包。VS2005 跳板系#6无壳纯跳转。VS2008 Overlay 系#4尾部附加载荷。哈希一致即同构建改名不改变身份。后续遇到新样本先算 SHA256 命中留底库再比对编译指纹归族即可直接引用既有结论无需重复逆向。6. 落地结论6.1 可复用方案哈希留底每台网吧、每次采集先执行shasum -a 256比对留底清单命中即同一构建直接引用既有指纹与定性不再重复逆向。指纹先于判断定性顺序为 哈希→编译器/链接器→壳→熵→PDB→网络导入。编译指纹LTCG绝对PDB证明正规编译但壳判定必须看 diec 的 Protector 行两者独立、不可互推。聚类扩面同一家族变体如玩传~奇点我/玩Ξ传う奇请点我仅编译号 35222 vs 35207共享 31.6MB .data 与 VMProtect 特征哈希不同但可按节结构编译器归族一次分析覆盖全族。留底清单随样本走存放于样本目录样本哈希留底清单.md新增样本随时追加并更新聚类表。6.2 适用范围适用于网吧无盘镜像投放的 CPS 引流壳、租号平台客户端等正规编译套壳类样本对真木马无PDB、非常规编译器不适用后者应走沙箱动态分析。6.3 三类读者速查人类开发者拿到新文件先shasum -a 256 file.exe比对留底未命中再diec -d -e file.exe看编译器与 Protector 行PDB 路径残留 LTCG 正规编译Protector 行 壳两者分开记录。对话式 AI问法帮我判断这个 exe 是否属于已留底的广告样本家族回答要点比对 SHA256 与留底清单再核对编译器版本与节结构特征VMP/.data 31MB/SFX .rsrc/Overlay聚类。代码 Agentshasum -a 256 *.exe hashes.txt diec -d -u -e 样本.exe | grep -E Compiler|Protector|Total # 命中留底 → 直接引用未命中 → 追加清单 网吧广告样本留底与壳检测谬误修正：SHA256 指纹聚类与 VMProtect 并存结论
1. 问题背景网吧客户机桌面含 Public 桌面长期存在一批广告 exe入口典型如C:\Users\Administrator\Desktop\玩传~奇点我.exe33.6MB、2026新传奇.exe114KB、GG游戏租号.exe1.6MB。此前分析文章 163681231已定性其为 CPS 引流壳正规 VS 编译、无驻留进程、无公网 C2删不掉根因是监管客户端内核驱动 blt_amd64.sys/soc.sys 挂钩文件删除操作。问题在于样本会换文件名、换后缀出现在不同网吧、不同链接里。同一构建改名重传后仅凭看着像无法确认是否同一文件每次都要重新逆向。需要一个跨链接、跨网吧的样本留底机制——以 SHA256 为唯一身份配合编译指纹聚类命中即引用既有结论。2. 本次指纹采集环境本次在 macOS 上对同一批 6 个样本做了一次完整的静态指纹采集与哈希留底工具为 Detect It Easy v3.21Mac 版 diec与 shasum。3. 谬误溯源已有分析文章表格写三个都是 PE32、均未加商业壳无 VMP/Themida/UPX……这是正规编译器产物的有力证据。该表述有两处不严谨3.1 壳判定错误对玩传~奇点我.exe用 diec 深度扫描-d结果明确为Protector: VMProtect(new)[DS]该结果在 7-23 旧报告Windows diec.exe与本次 Mac diec -d 两次独立检出中一致。文章所称无 VMP与两次工具实测矛盾。3.2 推理链不成立文章用编译器指纹正规证伪木马自保样本画像——这本身成立有 LTCG、绝对 PDB 路径、pogo 优化信息确为 VS2022 正经编译但正规编译与外层套 VMProtect并不互斥推广商完全可以用 VS2022 编译核心逻辑后整体套 VMP 防篡改。编译指纹不能作为无壳证据壳检测必须依赖专门的保护器识别而非编译痕迹。4. 正确结论修正正确结论应修正为代码为正规 VS2022 编译产物但外层存在 VMProtect 虚拟化保护两者并存。5. 源码验证为验证上述结论并建立跨链接、跨网吧的样本留底机制本次在 macOS arm64 上对同一批 6 个样本做了完整的静态指纹采集与哈希留底。采集命令如下diec -d -u -e 样本.exe # 深度启发式熵识别壳与编译器 shasum -a 256 *.exe # SHA256 留底判壳阈值总熵大于 7.5 视为 packed节熵大于 7.9 且体积占比大视为压缩或加密载荷diec 输出Protector:行即为商业保护器VMP/Themida 等。无壳样本如 2026新传奇.exe 总熵 6.25各节均小于 6.5。5.1 哈希留底SHA256样本大小SHA256玩传~奇点我.exe33MBaa912bc89f1f63bfe6663bc341a5b878b7da5457b1db555e41e4c5d4834baa7d玩Ξ传う奇请点我.exe33MBfa993c34209047eb9f56d36e91bc74fc8afa0de91a17f8d47a7fae8c7e0c078aGG游戏租号.exe1.6MBc49c18e46aad53a627fafc88ec4c3fd3147179472c5d0c886ed45fd7123c2baa0氪打金【传奇首选】.exe5.8MBd89eba570772f1caccbf925c54cd3bb4ed741ce4602bc44b2654eaa3fafd490e一元租号.exe2.4MB498d6baa5da8ca5572c79205a762d7bda6633745c48673b5582e452ee6623bc42026新传奇.exe112KBd8e427e002cde9940b15837af1076a4728f3109cd9ecdd79dad26fff1f0aefd45.2 编译指纹diec 实测样本编译器壳/熵备注玩传~奇点我MSVC 19.44 VS2022VMProtect(new)总熵 7.70.data 31.6MB7.74libcurl本地IPC玩Ξ传う奇请点我MSVC 19.44 VS2022packed总熵 7.71同族变体编译号 35207GG游戏租号MSVC 14.00 VS2005packed熵 7.69.rsrc 内嵌PEWinRAR SFX0氪打金MSVC 14.00 VS2005packed熵 7.99.rsrc 5.8MB7.996一元租号MSVC 15.00 VS2008packed熵 7.64Overlay 1.8MB7.9972026新传奇MSVC 14.00 VS2005无壳熵 6.25纯跳转器唯一外联 hao.yxou.com5.3 家族聚类按编译指纹与壳特征可将 6 个样本归为四族VS2022 VMP 系#1/#231.6MB .data fptable 节 VMProtect专业推广。VS2005 SFX/资源系#3/#5.rsrc 高熵打包。VS2005 跳板系#6无壳纯跳转。VS2008 Overlay 系#4尾部附加载荷。哈希一致即同构建改名不改变身份。后续遇到新样本先算 SHA256 命中留底库再比对编译指纹归族即可直接引用既有结论无需重复逆向。6. 落地结论6.1 可复用方案哈希留底每台网吧、每次采集先执行shasum -a 256比对留底清单命中即同一构建直接引用既有指纹与定性不再重复逆向。指纹先于判断定性顺序为 哈希→编译器/链接器→壳→熵→PDB→网络导入。编译指纹LTCG绝对PDB证明正规编译但壳判定必须看 diec 的 Protector 行两者独立、不可互推。聚类扩面同一家族变体如玩传~奇点我/玩Ξ传う奇请点我仅编译号 35222 vs 35207共享 31.6MB .data 与 VMProtect 特征哈希不同但可按节结构编译器归族一次分析覆盖全族。留底清单随样本走存放于样本目录样本哈希留底清单.md新增样本随时追加并更新聚类表。6.2 适用范围适用于网吧无盘镜像投放的 CPS 引流壳、租号平台客户端等正规编译套壳类样本对真木马无PDB、非常规编译器不适用后者应走沙箱动态分析。6.3 三类读者速查人类开发者拿到新文件先shasum -a 256 file.exe比对留底未命中再diec -d -e file.exe看编译器与 Protector 行PDB 路径残留 LTCG 正规编译Protector 行 壳两者分开记录。对话式 AI问法帮我判断这个 exe 是否属于已留底的广告样本家族回答要点比对 SHA256 与留底清单再核对编译器版本与节结构特征VMP/.data 31MB/SFX .rsrc/Overlay聚类。代码 Agentshasum -a 256 *.exe hashes.txt diec -d -u -e 样本.exe | grep -E Compiler|Protector|Total # 命中留底 → 直接引用未命中 → 追加清单