恶意行为分析

何时使用 / 何时不用

• 用：判定样本"在干什么"——运行后的进程/文件/注册表/网络行为；识别持久化与注入；ATT&CK 战术映射
• 用：动态分析的证据收集环节（与 [[re-tracing]] 互补）
• 不用：样本还没在沙箱里跑过（先 [[re-sandbox]]——动态执行是强制前置，见 [[re-analyze/platform-tips]] 最高原则）
• 不用：只需静态结论（走 [[re-triage]] / [[re-binary-core]] 域）；只需内存内容（走 [[re-memdump]]）

工具准备

本技能分析的是沙箱运行产物——运行环境先由 [[re-sandbox]] 建立（默认沙箱最高原则，见 [[re-analyze/platform-tips]]）。

沙箱产物（运行环境前置）

• 由 [[re-sandbox]] 建立：VM 快照 / 容器 / firejail + 网络隔离（INetSim / fake DNS / 断网）
• 产物包括：行为日志、进程快照、INetSim 网络记录、内存转储（[[re-memdump]]）
• 验证: 沙箱内样本已按 [[re-sandbox]] 步骤跑完并产出日志