加载器 / 投放器分析（下载链 / 内存加载 / 模块拼接）

何时使用 / 何时不用

• 用：样本是"下载器/投放器"——体积小、动态获取后续载荷、运行时在内存里加载/拼接最终模块
• 用：多层载荷链（下载器 → 解压 → 内存加载 → 最终 RAT/勒索/挖矿）的逐层还原
• 用：反射式加载 / 进程空洞 / 模块拼接类投递技术分析
• 不用：样本本身就是完整载荷（静态可看到全部功能，走 [[re-triage]] / [[re-binary-core]]）
• 不用：只做静态字符串提取（先 [[re-triage]] 初勘，下载器特征不明显时静态先行）
• 注意：动态分析强制前置（[[re-sandbox]]，[[re-analyze/platform-tips]] 最高原则）——下载器必须运行才能观察下载链；网络隔离下分析

工具准备

所有工具先验证再使用。本技能是动态分析为主——运行环境与监控工具直接复用下列技能（装法见各技能），本技能额外补两个提取用工具。

动态环境（复用，运行强制前置）