# Speakeasy Windows 恶意软件仿真框架

> Mandiant 的 Windows 恶意软件仿真框架，借助 Unicorn CPU 仿真器，在模拟的 Windows 运行环境（而非完整虚拟机）中运行 PE 可执行文件、DLL、内核驱动和原始 x86/amd64 shellcode。手写的处理程序加上由 win32metadata 和 phnt 生成的签名库，负责模拟 Windows API 调用、进程与线程行为、文件系统、注册表和网络，每次运行都记录为结构化 JSON 报告，其中包含带参数名的 API 事件、释放的文件以及可选的内存快照。它可通过 speakeasy 命令行或作为 Python 库使用，内置的 GDB 桩可让分析者单步调试仿真中的样本。

- 类型：工具
- 目标：二进制
- 类别：调试与动态分析
- 关联：基础工具
- 来源复核于：2026-10-20
- 收录于：2026-11-02
- 原始资源：<https://github.com/mandiant/speakeasy>
- 一手来源：<https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/speakeasy/>
- 记录 JSON：<https://awesomerea.org/resources/speakeasy/record.json>
- 英文版：[English](https://awesomerea.org/resources/speakeasy/index.md)

## 使用条件与局限

- 审阅时最新版本为 v2.0.0b9，是 2026-10-11 发布的 GitHub 预发布版，指向所审阅的 master 提交，并将报告格式升级为 5.0.0 版。PyPI 上 speakeasy-emulator 的最新稳定版仍是 2022 年的 1.5.11，而 pip 默认跳过预发布版本，因此除非明确指定 2.0 测试版，README 中直接 pip install 的命令会装到 1.5.11。
- 需要 Python 3.10+；依赖包括 Unicorn 2.1.4+、pefile、Capstone 和 pycryptodome，包元数据标注为与操作系统无关。从源码安装需递归克隆 win32json 和 phnt 子模块，并运行两个生成 API 签名库的脚本；Dockerfile 构建 Python 3.13 镜像，样本挂载在 /sandbox。GDB 调试需用 gdb-multiarch 或其他 GDB 连接调试桩，文档提醒该调试桩没有任何身份验证。
- 样本由使用者自行提供。测试使用 tests/bins 下的小型测试可执行文件、DLL、WDM 驱动和一个 shellcode 样本，以及 capa-testfiles 子模块中 Mandiant 的 capa 测试数据，后者提供《Practical Malware Analysis》实验样本；两者都应按恶意软件分析材料处理。
- 局限说明页指出，只有精选的一部分 API 有手写处理程序：仅凭签名仿真的 API 只返回成功值而没有真实副作用，未知导入会终止运行，缺失的文件、注册表项或网络响应可能看起来像反分析行为，因此报告需要分析者自行解读。采用 MIT 许可；win32json、phnt 和 capa-testfiles 子模块适用各自条款。

## 一手来源

1. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/README.md>
2. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/doc/install.md>
3. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/doc/limitations.md>
4. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/doc/cli-reference.md>
5. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/doc/reporting.md>
6. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/doc/gdb.md>
7. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/pyproject.toml>
8. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/speakeasy/version.py>
9. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/.gitmodules>
10. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/Dockerfile>
11. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/LICENSE.txt>
12. <https://github.com/mandiant/speakeasy/tree/aa9f22643f4519e0555141cd16ee25eb971b5518/tests/bins>
13. <https://github.com/mandiant/speakeasy/blob/aa9f22643f4519e0555141cd16ee25eb971b5518/tests/pma_cases.py>
14. <https://github.com/mandiant/speakeasy/releases/tag/v2.0.0b9>
15. <https://pypi.org/project/speakeasy-emulator/1.5.11/>

## 同分区更多条目：原生二进制

- [LazyIDA：IDA 便捷操作插件](https://awesomerea.org/zh/resources/lazyida/index.md) · 工具
- [Tiny Tracer API 调用跟踪工具](https://awesomerea.org/zh/resources/tiny-tracer/index.md) · 工具
- [Ponce IDA 符号执行与污点分析插件](https://awesomerea.org/zh/resources/ponce/index.md) · 工具
- [DRAKVUF Sandbox 虚拟机监控器级恶意软件分析沙箱](https://awesomerea.org/zh/resources/drakvuf-sandbox/index.md) · 工具
- [HexRaysPyTools 结构体重建插件](https://awesomerea.org/zh/resources/hexrayspytools/index.md) · 工具
- [CAPEv2 恶意软件沙箱](https://awesomerea.org/zh/resources/capev2/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。