伪装成腾讯元宝 AI 安装包使用白加黑方式加载银狐木马变种样本分析

import structdef decrypt_data(data):    # int32_t xmm1[0x4] = *"{{{{{{{{{{{{{{{{"    key = 0x7b    key_bytes = bytes([key] * 16)    result = bytearray(data)    length = len(result)    i = 0    aligned_len = length & 0xfffffff0    while i < aligned_len:        # 取16字节块        block = result[i:i+16]        # *arg1 = _mm_add_epi8(*arg1 ^ xmm1, xmm1) ^ xmm1        temp = bytearray(16)        for j in range(16):            # 先异或            xor_val = block[j] ^ key_bytes[j]            # 再加（模拟8位溢出）            add_val = (xor_val + key_bytes[j]) & 0xFF            # 最后异或            temp[j] = add_val ^ key_bytes[j]        result[i:i+16] = temp        i += 16    # 处理剩余字节    remaining = length - i    if remaining > 0:        for j in range(remaining):            idx = i + j            # byte ^= 0x7b; byte += 0x7b; byte ^= 0x7b            b = result[idx]            b ^= key            b = (b + key) & 0xFF            b ^= key            result[idx] = b    return bytes(result)def decrypt_file(input_file, output_file):    with open(input_file, 'rb') as f:        encrypted_data = f.read()    decrypted_data = decrypt_data(encrypted_data)    with open(output_file, 'wb') as f:        f.write(decrypted_data)if __name__ == "__main__":    decrypt_file("gif.png", "decrypted_payload.bin")