dd1d3/LAB_110001

GitHub: dd1d3/LAB_110001

一个专注于恶意软件逆向工程和威胁分析的公开研究实验室，提供真实样本的完整剖析文档、注释反汇编和检测规则。

Stars: 0 | Forks: 0

**LAB_110001** — 恶意软件分析与逆向工程 ![Status](https://img.shields.io/badge/status-active-red?style=flat-square) ![Type](https://img.shields.io/badge/type-educational-orange?style=flat-square) ![RE](https://img.shields.io/badge/reverse--engineering-yes-darkred?style=flat-square) ![License](https://img.shields.io/badge/license-MIT-gray?style=flat-square) *一个专注于恶意软件剖析、二进制逆向和底层威胁分析的公开研究实验室。*

## 关于 LAB_110001 是我记录恶意软件分解工作的地方，包括其构建方式、运行机制以及检测方法。每个条目都涵盖了一个真实样本的完整演示：从初步分类到反汇编、行为分析和 IOC 提取。 ## 仓库内容 - 真实恶意软件样本的逆向工程（静态和动态） - 使用 IDA / Ghidra 进行的带注释反汇编 - 行为分析：注册表、文件系统、网络活动 - 恶意软件家族拆解：勒索软件、RAT、窃密器、加载器 - 基于每次分析编写的 YARA 规则 - 关于加壳、混淆和反调试技术的笔记 ## 仓库结构 ``` LAB_110001/ ├── samples/ # Malware samples — password-protected archives (pw: infected) │ ├── ransomware/ │ ├── trojans/ │ ├── rats/ │ └── stealers/ │ ├── analysis/ │ ├── static/ # PE structure, strings, imports, entropy │ └── dynamic/ # Runtime behavior, network traffic, process activity │ ├── writeups/ # Full walkthroughs readable format, one file per sample ├── tools/ # Helper scripts, IDA/Ghidra plugins, YARA rules ├── screenshots/ # Debugger and disassembler captures └── sandbox/ # VM configs — FlareVM, REMnux ``` ## 分析工作流 | 阶段 | 内容 | 使用工具 | |-------|-------------|------------| | Triage | 文件类型、哈希、熵值、加壳检测 | DIE, PE-Bear, ExifTool | | Static | 反汇编、字符串提取、导入分析 | IDA Free, Ghidra, DnSpy | | Dynamic | 沙箱执行、行为捕获 | x64dbg, ProcMon | | Network | C2 流量、DNS、协议识别 | FakeNet-NG, Wireshark | | Detection | 编写 YARA 规则、提取 IOC | YARA | 推荐的分析环境： - **[FlareVM](https://github.com/mandiant/flare-vm)** — Windows 逆向工程环境（预装 IDA, Ghidra, x64dbg） - **[REMnux](https://remnux.org/)** — 专为恶意软件分析构建的 Linux 发行版 ## 参考资料 - [MalwareBazaar](https://bazaar.abuse.ch/) — 公开样本数据库 - [Any.run](https://any.run/) — 交互式沙箱 - [Hybrid Analysis](https://www.hybrid-analysis.com/) — 免费自动化沙箱 - [VirusTotal](https://www.virustotal.com/) ## 免责声明本仓库中的所有内容仅用于**教育和研究目的**。样本存储在受密码保护的归档中，切勿在受控的隔离环境之外执行。未经所有者明确授权，将此处记录的任何技术应用于系统是非法的。作者对滥用本仓库中的任何材料不承担任何责任。

_{LAB_110001}