工具

kaandemir993/malwareforge---advanced-static-malware-analyzer

高级静态恶意软件分析器，可揭示 8 种注入技术、关键 API 调用和隐藏字符串，将 PE 节区（.text、.rdata）导出为 .bin 文件，支持 PE/ELF/Mach-O/脚本，并通过 VirusTotal 集成 60+ 个 AV 引擎。

gmh5225/keypatchx

KeyPatch Enhanced — IDA Pro plugin for symbol-aware x86/x64 assembly patching, powered by Keystone Engine. Fork of Keypatch with automatic IDA symbol…

theatha/yara_for_config_extraction

用 C 语言构建自定义 YARA 模块以提取恶意软件配置的教程和源代码，附带实用的 Danabot 示例和可复用的构建脚本。

nccgroup/binja_arch_ref

一个简单的 Binary Ninja 插件，用于显示包含当前架构信息的速查表

kaandemir993/dropper-gcleaner-c2-infrastructure-kernel-driver-powershell-conhost-payload-analysis

针对 Dropper GCleaner 的逆向工程分析，该恶意软件使用具有弹性的 C2 基础架构、内核驱动程序加载、PowerShell/Conhost 执行以及 .rdata 载荷提取。包含 30+ 个 C2 域名、NtLoadDriver 及完整 API 列表。

jwalker/frida-ios-dump-modern

一个更新后的 Frida iOS 转储工具，支持最新的 Frida 17.5.2 API

amberchalia/norm-edr

实验性内核模式EDR研究项目，专注于可解释检测可疑的内存中执行模式，生成人类可读的告警，而非不透明的评分或阻断。

sensepost/dotnethookertoolkit

基于Frida的.NET Framework注入器和托管方法挂钩工具包，用于运行时跟踪、原生入口点解析和Windows进程的动态分析。

ejfkdev/avdroot

用纯 Go 语言通过 Magisk 修补 ramdisk 来 root Android Studio 模拟器。

knight0x07/bibi-windows-wiper-analysis

针对以色列组织的 Bibi-Windows Wiper 技术分析

rin449/bhpai

多格式恶意软件分析平台，结合隐蔽的 Ring-3 Windows 沙箱、静态 PE/PDF 分析器、勒索软件密钥恢复以及用于抗误报检测的 AI 集成。

courtcircuits/cracked

用于 crackmes.one 的 TUI

decalage2/collisions

哈希碰撞及其利用方式

jacobpimental/nanocore_extractor

从编译的AutoIT脚本中提取nanocore样本

20enderdude20/ghidra_v810_v830

Ghidra处理器描述模块，用于NEC/Renesas v810和v830系列

corelight/zeek-xor-exe-plugin

Zeek 插件，用于检测和解密 XOR 加密的 EXE 文件

futureslab/binvariants

基于寄存器级不变量引导的模糊测试框架，针对闭源二进制程序，利用可能的不变量违反来发现二进制可执行文件中的崩溃和缺陷。