恶意软件分析

完整工作流

1. 默认沙箱前置：[[re-sandbox]]（能力：sandbox-setup） —— 判定恶意行为 / 一切动态执行先建沙箱（VM 快照 > 容器 > firejail），网络隔离（INetSim / fake DNS / 断网），快照就绪再传样本。仅静态初勘可免沙箱（见 [[re-analyze/platform-tips]] 最高原则）
2. 静态初勘：[[re-triage]]（能力：triage） —— file / hash / 熵 / strings，确认真实类型与架构；熵 >7.0 先怀疑加壳/加密
3. 行为分析：[[re-behavior]]（能力：malware-behavior） —— 沙箱内运行样本：进程树与注入、持久化清单、文件/注册表、网络连接、ATT&CK 映射
4. C2/协议：[[re-protocol]]（能力：network-capture、protocol-recovery、crypto-identification、crypto-decryption、key-extraction、tls-analysis） —— [[re-netcap]]（能力：network-capture） 捕获回连流量、[[re-proto-rev]]（能力：protocol-recovery） 重建协议状态机、[[re-crypto-id]]（能力：crypto-identification） / [[re-crypto-keys]]（能力：key-extraction） / [[re-crypto-decrypt]]（能力：crypto-decryption） 识别并解密通信加密
5. 加壳样本转 [[re-anti-analysis]]（能力：unpack、deobfuscation、evasion-analysis；packer-id → unpack-simple/advanced）：脱壳产物回到步骤 1 沙箱复跑验证，再继续行为分析
6. IOC/报告：[[re-ioc]]（能力：threat-intel） —— 提取 IOC（hash/域名/IP/路径/互斥体）、写 YARA 规则、按报告结构（摘要/行为/证据/IOC/结论）产出

每步结果存档（证据路径 + sha256，见 [[re-triage]]（能力：triage）），供第 6 步报告引用。

何时用哪个原子技能（选择树）

按目标分支：

• 行为判定（"会不会回连""它在干什么"）→ [[re-sandbox]]（能力：sandbox-setup） → [[re-behavior]]（能力：malware-behavior） →（发现 C2）[[re-protocol]]（能力：network-capture、protocol-recovery、crypto-identification、crypto-decryption、key-extraction、tls-analysis） → [[re-ioc]]（能力：threat-intel）
• 配置提取（C2 域名/密钥/解密配置）→ 静态优先 [[re-triage]]（能力：triage；可免沙箱）；加壳先转 [[re-anti-analysis]]（能力：unpack、deobfuscation、evasion-analysis）；配置在内存则 [[re-memdump]]（能力：memory-dump）；需要运行时进 [[re-sandbox]]（能力：sandbox-setup） + [[re-behavior]]（能力：malware-behavior）
• 家族识别（"哪个家族""是否已知恶意"）→ [[re-triage]]（能力：triage） 哈希/字符串比对已知库 → [[re-ioc]]（能力：threat-intel） 写 YARA 验证；行为佐证走 [[re-behavior]]（能力：malware-behavior）
• 静态逻辑深挖（不涉及运行）→ 转 [[re-binary-core]]（能力：decompilation、debugging、memory-dump、elf-parser、pe-parser、macho-parser） 域（[[re-ghidra]]（能力：decompilation、debugging） / [[re-ida]]（能力：decompilation、debugging） / [[re-radare2]]（能力：decompilation））
• 勒索样本（加密文件/勒索信/解密恢复）→ [[re-ransomware]]（能力：malware-behavior、crypto-identification；加密识别走 crypto 域，C2 交互走 [[re-protocol]]（能力：network-capture、protocol-recovery、crypto-identification、crypto-decryption、key-extraction、tls-analysis））
• 加载器/投放器（多层下载/内存加载/模块拼接）→ [[re-loader]]（能力：malware-behavior；沙箱+[[re-tracing]]（能力：tracing）+[[re-memdump]]（能力：memory-dump））
• 无文件样本（无落盘/内存执行/PowerShell 链）→ [[re-fileless]]（能力：malware-behavior；[[re-sandbox]]（能力：sandbox-setup）+[[re-memdump]]（能力：memory-dump）+[[re-script-deob]]（能力：deobfuscation） 联动）
• 钓鱼附件（PDF/Office/RTF 文档） → [[re-doc-malware]]（能力：document-malware；文档武器化/宏链/载荷提取）
• 样本拿不到 / 不落盘 / 寄生在别的进程（只有现象、内存马、需要现场采集）→ [[re-sample-acquire]]（能力：sample-acquisition）→ 采集产物回本网关（[[re-fileless]]（能力：malware-behavior） / [[re-behavior]]（能力：malware-behavior））

跨域联合

• 恶意样本加壳：[[re-malware]] → [[re-anti-analysis]]（packer-id / unpack-*），脱壳产物回沙箱复跑再行为分析
• C2 通信分析：[[re-malware]] → [[re-protocol]]（netcap / proto-rev / crypto-*）
• 深度静态逻辑 → [[re-binary-core]]（[[re-ghidra]] 反编译等）
• 无文件/内存执行样本：[[re-malware]] → [[re-fileless]]（沙箱 + 内存转储 + 脚本解码链还原；与 [[re-evasion]] 的 AMSI/ETW 对抗衔接）
• 本网关被 [[re-analyze]] 的 triage.md「判定恶意行为 / 会不会回连」路径调用（re-malware → re-sandbox → re-behavior → re-protocol → re-ioc）

常见坑与陷阱

• 拿到样本跳过沙箱直接运行 → 环境污染且破坏证据 —— 动态分析默认沙箱是最高原则（见 [[re-analyze/platform-tips]]）
• 熵高（>7.0）不确认加壳就硬跑行为分析 → 观察到的全是壳的行为 —— 先 [[re-triage]] 判断，加壳转 [[re-anti-analysis]]
• 行为结果不留证据（无日志/无 hash）→ 报告不可复现 —— 每步产物按 [[re-ioc]] 报告结构存档
• 沙箱网络未隔离就跑样本 → 真实外联 —— 先 INetSim / fake DNS / 断网（[[re-sandbox]] 网络隔离步骤）