# Windows 加载器：借助 REA 与 Codex 的静态恶意软件分析

> Fedele Mantuano 报告在离线 Docker 实验环境中让 Codex 借助 REA，对一个公开的 Windows 恶意软件样本做静态分析，全程不执行样本。文章区分了提取出的 JavaScript 代码包能够支持的行为与依赖从未获取的远程组件的推断，并将原本疑为信息窃取程序的样本重新归类为加载器。这是以作者审阅过的智能体报告为基础的防御性分析案例，不是重建，也不是动态引爆分析。

- 类型：案例
- 目标：二进制
- 类别：REA 社区调查案例
- 关联：作者报告的混合工具流程
- 来源复核于：2026-10-18
- 收录于：2026-10-27
- 原始资源：<https://codegeeksai.github.io/en/blog/static-malware-analysis-rea-codex/>
- 目录页面：<https://awesomerea.org/zh/resources/windows-loader-static-analysis-case/>
- 记录 JSON：<https://awesomerea.org/resources/windows-loader-static-analysis-case/record.json>
- 英文版：[English](https://awesomerea.org/resources/windows-loader-static-analysis-case/index.md)

## 使用条件与局限

- Code Geeks 上这篇由 Fedele Mantuano 撰写的文章标注日期为 2026-10-18，另有意大利文版本，所述分析于 2026-10-17 完成。作者要求 Codex 使用 REA 检查一个取自 MalwareBazaar 的 Windows x64 可执行文件，并撰写 Markdown 报告，涵盖文件、进程、持久化、网络目标、更新、防御指标与局限。智能体生成的技术报告、产物和代码引用均未公开；作者表示可私下提供更多细节。
- 分析在 Docker Desktop 的 Linux/amd64 容器中进行，使用 REA 6.5.0 与 Node 24.22.0，无网络，根文件系统与样本挂载均为只读，以非特权用户运行并移除 capabilities。样本及提取出的代码均未执行，也未使用 Wine；作者指出容器离线时 Codex 仍在与模型服务通信。附录另行记录了在 macOS Apple Silicon 上安装 REA 6.5.0、Ghidra 12.1.4、Temurin JDK 25.0.4.1 与 Node.js 24.21.0，并通过 MCP 和 REA 技能接入 Codex 的步骤；该流程未在全新 Mac 上重做，也未在其他宿主上测试。
- 初步检查 PE 后，工作集中于从该可执行文件内嵌 Bun 运行时中提取的 JavaScript 代码包；约 98 MB 的原生可执行文件未被完整反编译。作者报告使用分析人员编写的解码器处理代码包的多层字符串混淆，过程中不运行样本代码，并抽查了哈希、提取范围和解码表，部分结果与独立的 Python 实现对照。这些检查支持具体结论。
- 作者将原本疑为信息窃取程序的样本重新归类为加载器：其代码支持收集主机信息与截图、加密回传、下载并在内存中加载后续组件，以及通过固定备用地址和远程查询更换服务器，且代码包中未发现 DGA。这些后续组件未获取，因此挖矿、凭据窃取、持久化以及在受害系统上的实际执行均未确立；报告中一处初始化不一致之处留待动态验证。文中的威胁情报流水线只是设想用途，并未实现或测量。
- 处理真实恶意软件需要隔离实验环境及分析者自身获得的授权。文章将成果归于 REA、Ghidra 与 Codex 的共同使用，并依赖经作者审阅的智能体报告。固定版本的博客仓库没有许可证文件；REA、Ghidra、Codex 及模型服务各有其条款。

## 一手来源

1. <https://codegeeksai.github.io/en/blog/static-malware-analysis-rea-codex/>
2. <https://github.com/codegeeksai/codegeeksai.github.io/blob/8384782c20b1636362495b9505f1bd597ff5941b/src/content/posts/en/static-malware-analysis-rea-codex.md>
3. <https://codegeeksai.github.io/it/blog/analisi-statica-malware-rea-codex/>
4. <https://github.com/codegeeksai/codegeeksai.github.io/blob/8384782c20b1636362495b9505f1bd597ff5941b/src/content/posts/it/analisi-statica-malware-rea-codex.md>

## 同分区更多条目：原生二进制

- [OpenBSD netcat：REA 与 Ghidra 静态调查](https://awesomerea.org/zh/resources/netcat-openbsd-rea-static-case/index.md) · 案例
- [m0rph：追踪混淆 ELF 程序的字符串校验逻辑](https://awesomerea.org/zh/resources/m0rph-ctf-analysis-case/index.md) · 案例
- [CPQ IO Scheduler：还原小米的块设备调度器](https://awesomerea.org/zh/resources/cpq-iosched-case/index.md) · 案例
- [Malware Analysis：njRAT 与 Casdet 行为研究](https://awesomerea.org/zh/resources/malware-analysis-njrat-casdet-case/index.md) · 案例
- [Ghidra](https://awesomerea.org/zh/resources/ghidra/index.md) · 工具
- [radare2](https://awesomerea.org/zh/resources/radare2/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。