恶意软件分析
完整工作流
- 默认沙箱前置：[[re-sandbox]]（能力：
sandbox-setup） —— 判定恶意行为 / 一切动态执行先建沙箱（VM 快照 > 容器 > firejail），网络隔离（INetSim / fake DNS / 断网），快照就绪再传样本。仅静态初勘可免沙箱（见 [[re-analyze/platform-tips]] 最高原则） - 静态初勘：[[re-triage]]（能力：
triage） —— file / hash / 熵 / strings，确认真实类型与架构；熵 >7.0 先怀疑加壳/加密 - 行为分析：[[re-behavior]]（能力：
malware-behavior） —— 沙箱内运行样本：进程树与注入、持久化清单、文件/注册表、网络连接、ATT&CK 映射 - C2/协议：[[re-protocol]]（能力：
network-capture、protocol-recovery、crypto-identification、crypto-decryption、key-extraction、tls-analysis） —— [[re-netcap]]（能力：network-capture） 捕获回连流量、[[re-proto-rev]]（能力：protocol-recovery） 重建协议状态机、[[re-crypto-id]]（能力：crypto-identification） / [[re-crypto-keys]]（能力：key-extraction） / [[re-crypto-decrypt]]（能力：crypto-decryption） 识别并解密通信加密 - 加壳样本转 [[re-anti-analysis]]（能力：
unpack、deobfuscation、evasion-analysis；packer-id → unpack-simple/advanced）：脱壳产物回到步骤 1 沙箱复跑验证，再继续行为分析 - IOC/报告：[[re-ioc]]（能力：
threat-intel） —— 提取 IOC（hash/域名/IP/路径/互斥体）、写 YARA 规则、按报告结构（摘要/行为/证据/IOC/结论）产出
每步结果存档（证据路径 + sha256，见 [[re-triage]]（能力：triage）），供第 6 步报告引用。
何时用哪个原子技能（选择树）
按目标分支：
- 行为判定（"会不会回连""它在干什么"）→ [[re-sandbox]]（能力：
sandbox-setup） → [[re-behavior]]（能力：malware-behavior） →（发现 C2）[[re-protocol]]（能力：network-capture、protocol-recovery、crypto-identification、crypto-decryption、key-extraction、tls-analysis） → [[re-ioc]]（能力：threat-intel） - 配置提取（C2 域名/密钥/解密配置）→ 静态优先 [[re-triage]]（能力：
triage；可免沙箱）；加壳先转 [[re-anti-analysis]]（能力：unpack、deobfuscation、evasion-analysis）；配置在内存则 [[re-memdump]]（能力：memory-dump）；需要运行时进 [[re-sandbox]]（能力：sandbox-setup） + [[re-behavior]]（能力：malware-behavior） - 家族识别（"哪个家族""是否已知恶意"）→ [[re-triage]]（能力：
triage） 哈希/字符串比对已知库 → [[re-ioc]]（能力：threat-intel） 写 YARA 验证；行为佐证走 [[re-behavior]]（能力：malware-behavior） - 静态逻辑深挖（不涉及运行）→ 转 [[re-binary-core]]（能力：
decompilation、debugging、memory-dump、elf-parser、pe-parser、macho-parser） 域（[[re-ghidra]]（能力：decompilation、debugging） / [[re-ida]]（能力：decompilation、debugging） / [[re-radare2]]（能力：decompilation）） - 勒索样本（加密文件/勒索信/解密恢复）→ [[re-ransomware]]（能力：
malware-behavior、crypto-identification；加密识别走 crypto 域，C2 交互走 [[re-protocol]]（能力：network-capture、protocol-recovery、crypto-identification、crypto-decryption、key-extraction、tls-analysis）） - 加载器/投放器（多层下载/内存加载/模块拼接）→ [[re-loader]]（能力：
malware-behavior；沙箱+[[re-tracing]]（能力：tracing）+[[re-memdump]]（能力：memory-dump）） - 无文件样本（无落盘/内存执行/PowerShell 链）→ [[re-fileless]]（能力：
malware-behavior；[[re-sandbox]]（能力：sandbox-setup）+[[re-memdump]]（能力：memory-dump）+[[re-script-deob]]（能力：deobfuscation） 联动） - 钓鱼附件（PDF/Office/RTF 文档） → [[re-doc-malware]]（能力：
document-malware；文档武器化/宏链/载荷提取） - 样本拿不到 / 不落盘 / 寄生在别的进程（只有现象、内存马、需要现场采集）→ [[re-sample-acquire]]（能力：
sample-acquisition）→ 采集产物回本网关（[[re-fileless]]（能力：malware-behavior） / [[re-behavior]]（能力：malware-behavior））
跨域联合
- 恶意样本加壳：[[re-malware]] → [[re-anti-analysis]]（packer-id / unpack-*），脱壳产物回沙箱复跑再行为分析
- C2 通信分析：[[re-malware]] → [[re-protocol]]（netcap / proto-rev / crypto-*）
- 深度静态逻辑 → [[re-binary-core]]（[[re-ghidra]] 反编译等）
- 无文件/内存执行样本：[[re-malware]] → [[re-fileless]]（沙箱 + 内存转储 + 脚本解码链还原；与 [[re-evasion]] 的 AMSI/ETW 对抗衔接）
- 本网关被 [[re-analyze]] 的 triage.md「判定恶意行为 / 会不会回连」路径调用（re-malware → re-sandbox → re-behavior → re-protocol → re-ioc）
常见坑与陷阱
- 拿到样本跳过沙箱直接运行 → 环境污染且破坏证据 —— 动态分析默认沙箱是最高原则（见 [[re-analyze/platform-tips]]）
- 熵高（>7.0）不确认加壳就硬跑行为分析 → 观察到的全是壳的行为 —— 先 [[re-triage]] 判断，加壳转 [[re-anti-analysis]]
- 行为结果不留证据（无日志/无 hash）→ 报告不可复现 —— 每步产物按 [[re-ioc]] 报告结构存档
- 沙箱网络未隔离就跑样本 → 真实外联 —— 先 INetSim / fake DNS / 断网（[[re-sandbox]] 网络隔离步骤）
