恶意软件分析

完整工作流

1. 默认沙箱前置：[[re-sandbox]]（能力：sandbox-setup） —— 判定恶意行为 / 一切动态执行先建沙箱（VM 快照 > 容器 > firejail），网络隔离（INetSim / fake DNS / 断网），快照就绪再传样本。仅静态初勘可免沙箱（见 [[re-analyze/platform-tips]] 最高原则）
2. 静态初勘：[[re-triage]]（能力：triage） —— file / hash / 熵 / strings，确认真实类型与架构；熵 >7.0 先怀疑加壳/加密
3. 行为分析：[[re-behavior]]（能力：malware-behavior） —— 沙箱内运行样本：进程树与注入、持久化清单、文件/注册表、网络连接、ATT&CK 映射
4. C2/协议：[[re-protocol]]（能力：network-capture、protocol-recovery、crypto-identification、crypto-decryption、key-extraction、tls-analysis） —— [[re-netcap]]（能力：network-capture） 捕获回连流量、[[re-proto-rev]]（能力：protocol-recovery） 重建协议状态机、[[re-crypto-id]]（能力：crypto-identification） / [[re-crypto-keys]]（能力：key-extraction） / [[re-crypto-decrypt]]（能力：crypto-decryption） 识别并解密通信加密
5. 加壳样本转 [[re-anti-analysis]]（能力：unpack、deobfuscation、evasion-analysis；packer-id → unpack-simple/advanced）：脱壳产物回到步骤 1 沙箱复跑验证，再继续行为分析
6. IOC/报告：[[re-ioc]]（能力：threat-intel） —— 提取 IOC（hash/域名/IP/路径/互斥体）、写 YARA 规则、按报告结构（摘要/行为/证据/IOC/结论）产出

每步结果存档（证据路径 + sha256，见 [[re-triage]]（能力：triage）），供第 6 步报告引用。

何时用哪个原子技能（选择树）

按目标分支：