无文件恶意软件分析

何时使用 / 何时不用

• 用：样本不落盘（无文件）——内存执行、PowerShell 下载执行、WMI/计划任务、注册表运行键承载载荷
• 用：回答"无文件载荷怎么进来、怎么执行、怎么持久化"三条链
• 用：杀软/EDR 告警只有行为与网络特征、没有文件物证的分析（与 [[re-evasion]] 的 AMSI/ETW 对抗衔接）
• 不用：有落盘样本的常规行为分析（那是 [[re-behavior]]）；纯脚本静态解码（那是 [[re-script-deob]]）
• 不用：只分析载荷本体不关心执行链（转 [[re-binary-core]] / [[re-shellcode]]）
• 注意：本技能以 Windows 为主（无文件/注册表/WMI/计划任务均为 Windows 生态）；Linux/macOS 的对应物（bash/python 内存执行、LD_PRELOAD、systemd timer/crontab）按同一"执行链还原"框架套用

工具准备

无文件分析 = 动态执行 + 内存取证 + 脚本解码三线并行，全程在沙箱内（[[re-sandbox]] 强制前置，[[re-analyze/platform-tips]] 最高原则）。所有工具先验证再使用。

动态分析环境（强制前置）