用途：在静态分析（如 PEStudio）与行为分析（如 Cuckoo）已发现可疑功能后，使用 Ghidra 反汇编器与反编译器对恶意二进制做代码级逆向，理解 C2 通信协议、加密算法、自定义混淆、漏洞利用机制，并提取硬编码配置（C2 地址、密钥、活动 ID），据此编写精确的 YARA 规则或检测签名。不适用于未知样本的初步分类。
主要能力：Ghidra 支持 PE、ELF、Mach-O 多架构反汇编与伪 C 反编译，提供交叉引用、控制流图、函数签名、脚本自动化（Python/Java）与无头分析；可结合 FindCrypt 插件识别加密常量，配合 IDA Free、Binary Ninja 交叉验证，x64dbg 做动态调试。
使用方式：需安装 Ghidra 11.x 与 JDK 17+，在隔离分析虚拟机中操作，并熟悉 x86/x64 汇编与 Windows API。流程为：新建项目并导入样本、运行自动分析；从入口点与导入函数定位关键代码；用反编译器分析逻辑并重命名变量与类型；追踪 C2 通信路径；识别 XOR、RC4、AES、Base64 等加密模式；最后整理报告并生成 YARA 规则。无头分析示例：/opt/ghidra/support/analyzeHeadless /tmp/ghidra_project MalwareProject -import suspect.exe -postScript ExportDecompilation.py -scriptPath /opt/ghidra/scripts/ -deleteProject。
适用场景：逆向自定义 C2 协议、提取解密配置、分析进程注入与持久化逻辑、构建协议解码器与检测规则。
限制：需先完成初步分诊；分析前应运行完整自动分析，注意函数指针间接调用与库代码识别，并频繁保存项目以防崩溃丢失进度。具体收费、平台与效果资料暂未提供。