Re Malware

---
name: re-malware
type: gateway
description: >
  恶意软件分析网关。编排：默认沙箱 → 静态初勘 → 行为分析 → C2/协议 → IOC/报告。
  子技能：[[re-sandbox]] [[re-behavior]] [[re-ioc]] [[re-ransomware]] [[re-loader]] [[re-fileless]]、[[re-doc-malware]]、[[re-sample-acquire]]。
  触发词：恶意软件、样本行为、回连、C2、IOC、malware analysis。
capabilities: [malware-behavior, document-malware, evasion-analysis, key-extraction, threat-intel]
---

# 恶意软件分析

## 完整工作流

1. 默认沙箱前置：[[re-sandbox]]（能力：`sandbox-setup`） —— 判定恶意行为 / 一切动态执行先建沙箱（VM 快照 > 容器 > firejail），网络隔离（INetSim / fake DNS / 断网），快照就绪再传样本。仅静态初勘可免沙箱（见 [[re-analyze/platform-tips]] 最高原则）
2. 静态初勘：[[re-triage]]（能力：`triage`） —— file / hash / 熵 / strings，确认真实类型与架构；熵 >7.0 先怀疑加壳/加密
3. 行为分析：[[re-behavior]]（能力：`malware-behavior`） —— 沙箱内运行样本：进程树与注入、持久化清单、文件/注册表、网络连接、ATT&CK 映射
4. C2/协议：[[re-protocol]]（能力：`network-capture`、`protocol-recovery`、`crypto-identification`、`crypto-decryption`、`key-extraction`、`tls-analysis`） —— [[re-netcap]]（能力：`network-capture`） 捕获回连流量、[[re-proto-rev]]（能力：`protocol-recovery`） 重建协议状态机、[[re-crypto-id]]（能力：`crypto-identification`） / [[re-crypto-keys]]（能力：`key-extraction`） / [[re-crypto-decrypt]]（能力：`crypto-decryption`） 识别并解密通信加密
5. 加壳样本转 [[re-anti-analysis]]（能力：`unpack`、`deobfuscation`、`evasion-analysis`；packer-id → unpack-simple/advanced）：脱壳产物回到步骤 1 沙箱复跑验证，再继续行为分析
6. IOC/报告：[[re-ioc]]（能力：`threat-intel`） —— 提取 IOC（hash/域名/IP/路径/互斥体）、写 YARA 规则、按报告结构（摘要/行为/证据/IOC/结论）产出

每步结果存档（证据路径 + sha256，见 [[re-triage]]（能力：`triage`）），供第 6 步报告引用。

## 何时用哪个原子技能（选择树）

按目标分支：

- **行为判定**（"会不会回连""它在干什么"）→ [[re-sandbox]]（能力：`sandbox-setup`） → [[re-behavior]]（能力：`malware-behavior`） →（发现 C2）[[re-protocol]]（能力：`network-capture`、`protocol-recovery`、`crypto-identification`、`crypto-decryption`、`key-extraction`、`tls-analysis`） → [[re-ioc]]（能力：`threat-intel`）
- **配置提取**（C2 域名/密钥/解密配置）→ 静态优先 [[re-triage]]（能力：`triage`；可免沙箱）；加壳先转 [[re-anti-analysis]]（能力：`unpack`、`deobfuscation`、`evasion-analysis`）；配置在内存则 [[re-memdump]]（能力：`memory-dump`）；需要运行时进 [[re-sandbox]]（能力：`sandbox-setup`） + [[re-behavior]]（能力：`malware-behavior`）
- **家族识别**（"哪个家族""是否已知恶意"）→ [[re-triage]]（能力：`triage`） 哈希/字符串比对已知库 → [[re-ioc]]（能力：`threat-intel`） 写 YARA 验证；行为佐证走 [[re-behavior]]（能力：`malware-behavior`）
- 静态逻辑深挖（不涉及运行）→ 转 [[re-binary-core]]（能力：`decompilation`、`debugging`、`memory-dump`、`elf-parser`、`pe-parser`、`macho-parser`） 域（[[re-ghidra]]（能力：`decompilation`、`debugging`） / [[re-ida]]（能力：`decompilation`、`debugging`） / [[re-radare2]]（能力：`decompilation`））
- **勒索样本**（加密文件/勒索信/解密恢复）→ [[re-ransomware]]（能力：`malware-behavior`、`crypto-identification`；加密识别走 crypto 域，C2 交互走 [[re-protocol]]（能力：`network-capture`、`protocol-recovery`、`crypto-identification`、`crypto-decryption`、`key-extraction`、`tls-analysis`））
- **加载器/投放器**（多层下载/内存加载/模块拼接）→ [[re-loader]]（能力：`malware-behavior`；沙箱+[[re-tracing]]（能力：`tracing`）+[[re-memdump]]（能力：`memory-dump`））
- **无文件样本**（无落盘/内存执行/PowerShell 链）→ [[re-fileless]]（能力：`malware-behavior`；[[re-sandbox]]（能力：`sandbox-setup`）+[[re-memdump]]（能力：`memory-dump`）+[[re-script-deob]]（能力：`deobfuscation`） 联动）
- **钓鱼附件（PDF/Office/RTF 文档）** → [[re-doc-malware]]（能力：`document-malware`；文档武器化/宏链/载荷提取）
- **样本拿不到 / 不落盘 / 寄生在别的进程**（只有现象、内存马、需要现场采集）→ [[re-sample-acquire]]（能力：`sample-acquisition`）→ 采集产物回本网关（[[re-fileless]]（能力：`malware-behavior`） / [[re-behavior]]（能力：`malware-behavior`））

## 跨域联合

- 恶意样本加壳：[[re-malware]] → [[re-anti-analysis]]（packer-id / unpack-*），脱壳产物回沙箱复跑再行为分析
- C2 通信分析：[[re-malware]] → [[re-protocol]]（netcap / proto-rev / crypto-*）
- 深度静态逻辑 → [[re-binary-core]]（[[re-ghidra]] 反编译等）
- 无文件/内存执行样本：[[re-malware]] → [[re-fileless]]（沙箱 + 内存转储 + 脚本解码链还原；与 [[re-evasion]] 的 AMSI/ETW 对抗衔接）
- 本网关被 [[re-analyze]] 的 triage.md「判定恶意行为 / 会不会回连」路径调用（re-malware → re-sandbox → re-behavior → re-protocol → re-ioc）

## 常见坑与陷阱

- 拿到样本跳过沙箱直接运行 → 环境污染且破坏证据 —— 动态分析默认沙箱是最高原则（见 [[re-analyze/platform-tips]]）
- 熵高（>7.0）不确认加壳就硬跑行为分析 → 观察到的全是壳的行为 —— 先 [[re-triage]] 判断，加壳转 [[re-anti-analysis]]
- 行为结果不留证据（无日志/无 hash）→ 报告不可复现 —— 每步产物按 [[re-ioc]] 报告结构存档
- 沙箱网络未隔离就跑样本 → 真实外联 —— 先 INetSim / fake DNS / 断网（[[re-sandbox]] 网络隔离步骤）