用途：判定样本运行后“在干什么”，覆盖进程/文件/注册表/网络行为，识别持久化与注入，并做 ATT&CK 战术映射。属动态分析证据收集环节，与 re-tracing 互补。前置条件：样本必须先在沙箱跑过（re-sandbox 为强制前置）；只需静态结论走 re-triage/re-binary-core，只需内存内容走 re-memdump。
主要能力与工具：Windows 侧用 ProcMon（choco install sysinternals）记录文件/注册表/网络/进程事件，支持过滤、高亮、CSV 导出与时间线关联；Process Explorer 看进程树、句柄、DLL 与签名；API Monitor 做 API 级 hook（注意 32/64 位版本匹配）；ETW 用 logman/wevtutil/tracerpt 做内核侧采集。Linux 侧用 sysdig（apt install sysdig）、bpftrace（apt install bpftrace）及 ps、ss、crontab、systemctl 等内置命令。ATT&CK 映射可浏览 attack.mitre.org 或本地部署 attack-navigator。
操作要点：按进程树与注入识别、持久化清单、文件与注册表操作、网络连接与 C2 特征、ATT&CK 映射的顺序执行，每步保存证据（路径+sha256）。注入特征序列包括 DLL 注入（OpenProcess→VirtualAllocEx→WriteProcessMemory→CreateRemoteThread）、进程空洞、APC 注入。持久化需覆盖 Run 键、服务、计划任务、WMI __EventConsumer、cron、systemd 等。
限制与坑：沙箱可能被检测导致样本不发作；只看进程树会漏注入；计划任务/WMI 持久化易被忽略，隐藏任务需查 Tasks 目录与 TaskCache；KernelCallbackTable 注入与直通 syscall 注入会绕过用户态 hook，需依赖 Sysmon/ETW 内核侧事件；Linux 注入不落盘，需审计 ld.so.preload、process_vm_writev 与 /proc/<pid>/maps。上述工具多为 Windows 专用，Linux/macOS 对应走 re-tracing 与 sysdig/bpftrace。