工具
hrtng IDA 反编译增强插件
Kaspersky 发布的 IDA 插件，为 Hex-Rays 反编译器加入了作者在包括恶意软件分析在内的逆向工作中积累的各类工具。它可用内置密码算法解密字符串、数据和常量，或借助 IDA 的 Appcall 调试器功能批量解密；还能识别 API 名称哈希、消除控制流平坦化并强制反编译混淆代码，并通过微码签名、内联函数检测和从 IDA 数据库生成的 PAT 文件识别库代码。伪代码辅助功能包括自动重命名、类型修改和枚举替换、结构体创建、虚函数与间接调用导航以及补丁。
使用条件与局限
- 需要带 Hex-Rays 反编译器的 IDA。README 称只支持最新的 IDA 版本；插件仍可针对 IDA SDK 7.3 及以上版本编译，但新功能通常未在旧版本上充分测试。审阅时最新版本为 v3.9.114，发布于 2026-09-02，提供适用于 IDA 9.2、9.3 和 9.4 的预编译压缩包，另附一个 7z 压缩包；所审阅的 master 提交比该版本多一个更新日志中的修复，并在 ida-plugin.json 中声明版本 3.9.115。
- CI 工作流构建 Linux x64、macOS（Apple 芯片和 Intel）和 Windows x64 二进制，并为 IDA 9.3 和 9.4 构建 Linux ARM 版本。从源码构建需使用 CMake、Crypto++ CMake 子模块和 IDA SDK，SDK 路径与版本在 src/CMakeLists.txt 中设置；README 给出了 SDK 8.5 和 9.1 需要手动修正的内容。API 哈希扫描和枚举替换需要把 bin/plugins 中的 apilist.txt 和 literal.txt 放在插件旁边。
- 样本和 IDA 数据库由分析人员自行提供。批量解密的 Appcall 引擎会在所选 IDA 调试器中运行被分析程序自身的解密函数，其文档称仅用 imul 模拟器和 IDA 的 Remote Windows 调试器测试过。混淆代码反编译和内联检测被标为实验性功能。
- 采用 GPL-3.0 许可。NOTICE.txt 列出了随附的第三方代码及其许可证，其中包括采用 Boost Software License 1.0 的 Crypto++ 8.9.0（用于 RC4、AES、ChaCha20 等密码算法），以及采用 MIT 许可的 GraphSlick 和 microavx 代码。本次未构建、安装或运行任何内容。
关于此条目
- 类型
- 工具
- 类别
- 原生分析工具
- 关联
- 基础工具
- 目标
- 二进制
来源复核于
说明已依据一手来源复核；这不代表已运行验证、经过安全审计或确认兼容。
一手来源
- README.md GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- README.md#L13-L15 GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- README.md#L112-L150 GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- doc/decr.md GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- doc/appcall.md GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- doc/deob.md GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- doc/msig.md GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- .github/workflows/build.yml GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- ida-plugin.json GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- CHANGELOG.md GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- NOTICE.txt GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- COPYING GitHub · KasperskyLab/hrtng · 修订 2c7b78e
- https://github.com/KasperskyLab/hrtng/releases/tag/v3.9.114
- https://securelist.com/hrtng-ida-pro-plugin/114780/