工具
Noriben 基于 Procmon 的恶意软件行为分析脚本
调用 Sysinternals Process Monitor 记录程序运行时行为的 Python 脚本，会滤除常规系统活动，并生成文本报告，列出程序创建的进程及其文件、注册表和网络活动。它可以当作轻量级恶意软件沙箱使用，也能在分析人员手动运行样本时记录事件，例如样本需要特定命令行参数、需要用户交互，或在调试器中单步执行时。新建的文件可用 YARA 规则扫描，其哈希值可在 VirusTotal 上查询。2.1.0 版新增 DLL 加载监控、ASCII 进程树和 JSON 输出；NoribenSandbox.py 可在客户机虚拟机中自动完成分析流程。
- 目标
- 二进制
- 类别
- 调试与动态分析
- 关联
- 基础工具
- 来源复核于
使用条件与局限
- 前提条件：Windows 分析机上需要 Python 3 以及 Sysinternals 的 procmon.exe 或 procmon64.exe；使用 --yara 扫描需另装 yara-python，查询 VirusTotal 需要 requests。审阅时的版本为 2.1.0，于 2026-11-03 发布，其标签即所审阅的 main 分支提交。
- 范围：README 描述的沙箱流程是在虚拟机中运行样本、取回结果，并在分析下一个样本前恢复快照。NoribenSandbox.py 会启动预设的虚拟机快照，复制样本进去，运行 Noriben，再取回 ZIP 格式的报告和截图；README 称这个前端目前在 macOS 主机上运行。
- 局限：配置 VirusTotal API 密钥后，它会查询文件哈希；只有在 Noriben.config 中把 virustotal_upload 设为 True（默认为 False）时，才会把所有新建文件上传到 VirusTotal。
- 测试证据：2.1.0 版的发布说明提到新增了大规模单元测试，并说明是在 AI 辅助下开发的；README 给出的测试方法是在启用了 Procmon 模块加载记录的 Windows 虚拟机中，通过 Noriben 运行 tests/unit_tester.ps1。
- 许可：依 README 与 LICENSE 采用 Apache-2.0 许可。
关于此条目
说明已依据一手来源复核。
一手来源
- README.md GitHub · Rurik/Noriben · 修订 4c84a98
- Noriben.py#L1410-L1465 GitHub · Rurik/Noriben · 修订 4c84a98
- Noriben.config GitHub · Rurik/Noriben · 修订 4c84a98
- LICENSE GitHub · Rurik/Noriben · 修订 4c84a98
- https://github.com/Rurik/Noriben/releases/tag/2.1.0