BHPAI
rin449/bhpai多格式恶意软件分析平台，结合隐蔽的 Ring-3 Windows 沙箱、静态 PE/PDF 分析器、勒索软件密钥恢复以及用于抗误报检测的 AI 集成。
defensive-toolsstatic-analysisdynamic-analysis-sandboxing+8
gmh5225/evilkaspersky基于KasperskyHook的Windows内核驱动实验，使用直接系统调用进行进程间内存复制，并支持卸载驱动及其内存擦除。
gmh5225/dma-processdumper使用PCIe FPGA设备通过DMA进行简单进程转储
gmh5225/driver-kaldereta未签名的内核模式驱动程序，用于内存修改
gmh5225/driver-pidqserializationwrite-example如何使用 PiDqSerializationWrite。介绍如何安全地从映射驱动读取和写入
pinksawtooth/how_to_become_a_malware_analyst精选的恶意软件分析师成长指南，涵盖必备知识、逆向工程、分析工具以及 LLM 辅助学习，并配有实践练习和资源。
ymsniper/umbraExternal read-only game overlay for Linux. Derived offsets, composed skeletons, optional kernel module for ptrace-independent memory reads and…
stephenfewer/reflectivedllinjection反射式DLL注入是一种库注入技术，它利用反射式编程的概念，将库从内存加载到宿主进程中。
azr43lkn1ght/dfir-labsHands-on DFIR challenges covering digital forensics, incident response, malware analysis, and threat hunting with CTF-style flags and real-world…
daffainfo/vol-rsVolatility 3 ported to Rust. Same output, much faster.
mastercodeon314/ksdumper-11经典传奇工具 KsDumper 的复兴之作
withsecurelabs/volatility-pluginsVolatility 内存取证插件，包括检测 Gargoyle 内存扫描规避技术。
withsecurelabs/dotnet-gargoyle一个精神上等同于 Gargoyle 内存扫描规避技术的 .NET 实现
withsecurelabs/radare2-scriptsradare2 脚本合集，用于恶意软件分析：从内存转储中提取二进制文件、修补 PE 头，以及解码 shellcode 中的哈希函数导入。
withsecurelabs/memory-carving-scripts用于从受感染的内存转储中提取有用信息的脚本
volatilityfoundation/community社区维护的用于内存取证的 Volatility 插件集合，通过恶意软件与进程检查模块扩展内存转储分析。
volatilityfoundation/dwarf2json将ELF/DWARF符号和类型信息转换为vol3的中间JSON格式
jtsylve/lime用于从 Linux 和 Android 设备获取易失性内存的内核模块，可生成具备取证可靠性的内存捕获，并保存到磁盘或通过网络传输。