用途：针对被识别为 .NET 程序集（C#、VB.NET、F#）的恶意软件样本进行逆向分析，适用于 AgentTesla、AsyncRAT、RedLine Stealer、Quasar RAT 等家族，以及被 ConfuserEx、SmartAssembly 或自定义混淆器保护的代码。不适用于原生（非托管）PE 二进制，此类应改用 Ghidra 或 IDA。
主要能力：反编译读取源码级代码；用 de4dot 自动去混淆（支持 -p cf、-p sa、-p dr、-p rv、-p bl 等指定保护器）；提取硬编码的 C2 配置、加密密钥与凭据；在运行时调试以观察解密例程与动态行为；识别混淆器并记录 IOC。
使用方式：先确认样本为 .NET 程序集并检测保护（file、diec 或 pefile 脚本检查 COM 描述符与 mscoree.dll 导入）；再用 de4dot suspect.exe -o suspect_cleaned.exe 去混淆；随后在 dnSpy 中打开清理后的程序集，从入口点（Main）开始分析网络、加密、资源与定时器类；对解密函数、网络连接、文件写入、注册表修改处下断点，按 F5 启动调试，在局部变量窗口读取解密结果；最后整理为结构化报告，含程序集元数据、混淆器、C2 配置、能力、持久化、反分析技术与 IOC。
适用场景：信息窃取器、RAT 等 .NET 样本的配置提取与行为分析。
限制：需在隔离 Windows 虚拟机中运行调试器，样本可能立即外传数据；需注意多阶段加载与资源内嵌配置；未提供具体收费、平台支持范围等事实。