用途：在授权安全测试、受控环境恶意样本或攻击痕迹分析、红队与渗透测试、基于攻击技术理解构建检测能力等场景下，逆向分析 Rust 编译的恶意软件。Rust 因跨平台编译、内存安全与逆向复杂度被恶意软件采用；其二进制静态链接整个标准库，体积大、样板代码多，主要难点包括非空终止字符串（胖指针为指针加长度）、单态化生成的重复泛型代码、Result/Option unwrap 链式错误处理，以及不熟悉的调用约定，反编译为 C 的输出不如 C/C++ 二进制可读。已知 Rust 恶意软件包括 BlackCat/ALPHV 勒索软件、Hive 勒索软件变种与 Buer Loader。
主要能力与必要用法：前置条件为 IDA Pro 8.0+ 或 Ghidra 11.0+、用于参照编译的 Rust 工具链、Python 3.9+ 辅助脚本，并理解 Rust 内存模型（所有权、借用）与字符串类型（String、&str、CString）。工作流先识别与解析 Rust 二进制元数据，脚本通过 panicked at、called.*unwrap.*on.*None、core::panicking、std::rt::lang_start、.cargo[/\]registry 等特征判断并提取 rustc 版本；随后从 crates.io 与 .cargo/registry 路径提取 crate 名称与版本，并标记 reqwest、hyper、tokio、aes、chacha20、rsa、ring、base64、winapi、winreg、sysinfo、screenshots、clipboard、keylogger 等与恶意能力相关的依赖；再按 ASCII 连续序列提取字符串并筛选 http、socket、encrypt、decrypt、shell、exec、cmd、upload、download、persist、registry、mutex、pipe、inject 等关键词。用法示例：python3 脚本传入待分析二进制路径。验证标准包括二进制被正确识别为 Rust 编译并含版本信息、提取出 crate 依赖以揭示恶意能力、字符串提取能处理胖指针格式、定位主入口与核心逻辑函数、找到加密、网络与持久化代码。
限制：仅限授权安全测试与受控环境，不得用于未授权分析或攻击；工具版本、脚本输出与依赖识别结果受样本与版本影响；资料未提供收费与价格信息。