# Noriben 基于 Procmon 的恶意软件行为分析脚本 > 调用 Sysinternals Process Monitor 记录程序运行时行为的 Python 脚本，会滤除常规系统活动，并生成文本报告，列出程序创建的进程及其文件、注册表和网络活动。它可以当作轻量级恶意软件沙箱使用，也能在分析人员手动运行样本时记录事件，例如样本需要特定命令行参数、需要用户交互，或在调试器中单步执行时。新建的文件可用 YARA 规则扫描，其哈希值可在 VirusTotal 上查询。2.1.0 版新增 DLL 加载监控、ASCII 进程树和 JSON 输出；NoribenSandbox.py 可在客户机虚拟机中自动完成分析流程。 - 类型：工具 - 目标：二进制 - 类别：调试与动态分析 - 关联：基础工具 - 来源复核于：2026-11-05 - 收录于：2026-11-06 - 原始资源： - 一手来源： - 目录页面： - 记录 JSON： - 英文版：[English](https://awesomerea.org/resources/noriben/index.md) ## 使用条件与局限 - **前提条件：**Windows 分析机上需要 Python 3 以及 Sysinternals 的 procmon.exe 或 procmon64.exe；使用 --yara 扫描需另装 yara-python，查询 VirusTotal 需要 requests。审阅时的版本为 2.1.0，于 2026-11-03 发布，其标签即所审阅的 main 分支提交。 - **范围：**README 描述的沙箱流程是在虚拟机中运行样本、取回结果，并在分析下一个样本前恢复快照。NoribenSandbox.py 会启动预设的虚拟机快照，复制样本进去，运行 Noriben，再取回 ZIP 格式的报告和截图；README 称这个前端目前在 macOS 主机上运行。 - **局限：**配置 VirusTotal API 密钥后，它会查询文件哈希；只有在 Noriben.config 中把 virustotal_upload 设为 True（默认为 False）时，才会把所有新建文件上传到 VirusTotal。 - **测试证据：**2.1.0 版的发布说明提到新增了大规模单元测试，并说明是在 AI 辅助下开发的；README 给出的测试方法是在启用了 Procmon 模块加载记录的 Windows 虚拟机中，通过 Noriben 运行 tests/unit_tester.ps1。 - **许可：**依 README 与 LICENSE 采用 Apache-2.0 许可。 ## 一手来源 1. 2. 3. 4. 5. ## 同分区更多条目：原生二进制 - [QEMU 机器与用户态模拟器](https://awesomerea.org/zh/resources/qemu/index.md) · 工具 - [Hex Fiend macOS 十六进制编辑器](https://awesomerea.org/zh/resources/hex-fiend/index.md) · 工具 - [ScyllaHide 用户态反反调试库](https://awesomerea.org/zh/resources/scyllahide/index.md) · 工具 - [YARA-X Rust 版 YARA 模式匹配工具](https://awesomerea.org/zh/resources/yara-x/index.md) · 工具 - [ReClass.NET 进程内存结构重建工具](https://awesomerea.org/zh/resources/reclass-net/index.md) · 工具 - [Keypatch IDA Pro 汇编修补插件](https://awesomerea.org/zh/resources/keypatch/index.md) · 工具 ## 关于此条目 说明已依据一手来源复核。 原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。