用途：面向“下载器/投放器”类样本，逐层还原多层载荷链（下载器→解压→内存加载→最终载荷），并分析反射式加载、进程空洞、模块拼接等投递技术。样本本身已是完整载荷时不适用，应走静态或行为分析路径；仅做静态字符串提取时也不适用。
主要能力：初始样本识别（体积、字符串、导入表判断下载器特征）；下载/解压链跟踪（strace、ProcMon，配合 INetSim 记录并回放响应）；内存加载分析（反射式加载、进程空洞的观察与内存转储）；模块拼接与重组校验（pefile 解析、按分片顺序拼接、内存布局切片重组）；最终载荷提取与迭代分析。
使用方式：动态分析为强制前置，需先准备沙箱快照与网络隔离环境，并验证工具可用，例如 strace -V、gcore --help、pip install pefile、python3 -c "import pefile; print(pefile.version)"。Windows 内存扫描可选 pe-sieve / hollows_hunter，解压即用。按步骤执行并记录每层载荷的来源（URL/路径/内存偏移）与 sha256。
适用场景：多层载荷链还原、反射式加载与进程空洞分析、多文件合成或分片下载的模块拼接、加壳载荷脱壳后复跑验证。
限制与注意：断网会导致后续层无法获取，需用录制响应回放喂料；内存转储时机需按载荷落地窗口确定；样本可能通过延迟或交互检测规避沙箱；加密载荷需先解密或直接提取内存解密形态；后缀不可信，file 应作为第一步。具体工具安装细节与平台分支以各关联技能为准。