【待完成】从StrongPity一联网组件到APT的溯源与追踪-中-从单一样本到历史样本和初始载荷

基于PE结构寻找同源样本

Icon图标Hash

通过VT搜索该PE文件的Icon哈希值：

发现有大量文件关联，将其按检测率分类：

文件有比较大的比例为检测率为0的文件为Windows官方程序，可认为StrongPity的攻击者通过提取官方文件和官方信息，来伪装恶意载荷：

而检测率高的部分中，有3个同名（“SecurityHost.exe”）的文件，分析后发现都是StrongPity的恶意载荷的变种，“版本号”分别为：

MD5	“版本号”
363377166D8F1DEC7DA59958BAE61881	v18_kt19p1
FF9B1E2D7AD8B022F3FD3D9395382CF5	v18_kt68p1
D4057C628387F461B15EC7AD78DE6CA1	v18_kt20p0

ImpHash和version_info

分析上述通过Icon关联出的恶意样本可以发现，起码在v18版本中，有共同点：

相同点	相同值
Product	Windows
Original Name	SecurityHost.exe
ImpHash	90570395bfeb43df5c7a271296b7c409