Windows 加载器：借助 REA 与 Codex 的静态恶意软件分析

使用条件与局限

• Code Geeks 上这篇由 Fedele Mantuano 撰写的文章标注日期为 2026-10-18，另有意大利文版本，所述分析于 2026-10-17 完成。作者要求 Codex 使用 REA 检查一个取自 MalwareBazaar 的 Windows x64 可执行文件，并撰写 Markdown 报告，涵盖文件、进程、持久化、网络目标、更新、防御指标与局限。智能体生成的技术报告、产物和代码引用均未公开；作者表示可私下提供更多细节。
• 分析在 Docker Desktop 的 Linux/amd64 容器中进行，使用 REA 6.5.0 与 Node 24.22.0，无网络，根文件系统与样本挂载均为只读，以非特权用户运行并移除 capabilities。样本及提取出的代码均未执行，也未使用 Wine；作者指出容器离线时 Codex 仍在与模型服务通信。附录另行记录了在 macOS Apple Silicon 上安装 REA 6.5.0、Ghidra 12.1.4、Temurin JDK 25.0.4.1 与 Node.js 24.21.0，并通过 MCP 和 REA 技能接入 Codex 的步骤；该流程未在全新 Mac 上重做，也未在其他宿主上测试。
• 初步检查 PE 后，工作集中于从该可执行文件内嵌 Bun 运行时中提取的 JavaScript 代码包；约 98 MB 的原生可执行文件未被完整反编译。作者报告使用分析人员编写的解码器处理代码包的多层字符串混淆，过程中不运行样本代码，并抽查了哈希、提取范围和解码表，部分结果与独立的 Python 实现对照。这些检查支持具体结论，但不能证明去混淆视图整体等价。
• 作者将原本疑为信息窃取程序的样本重新归类为加载器：其代码支持收集主机信息与截图、加密回传、下载并在内存中加载后续组件，以及通过固定备用地址和远程查询更换服务器，且代码包中未发现 DGA。这些后续组件未获取，因此挖矿、凭据窃取、持久化以及在受害系统上的实际执行均未确立；报告中一处初始化不一致之处留待动态验证。文中的威胁情报流水线只是设想用途，并未实现或测量。
• 本合集不转录文章列出的指标，也不链接样本；处理真实恶意软件需要隔离实验环境及分析者自身获得的授权。文章将成果归于 REA、Ghidra 与 Codex 的共同使用，并依赖经作者审阅的智能体报告，因此不应把结果完全归功于 REA。固定版本的博客仓库没有许可证文件；REA、Ghidra、Codex 及模型服务各有其条款。本次审阅只阅读了文章及其固定版本源文件，未运行任何工具或样本。

关于此条目

类型

案例

类别

REA 社区调查案例

关联

作者报告的混合工具流程

目标

二进制

来源复核于 2026-10-18

说明已依据一手来源复核；这不代表已运行验证、经过安全审计或确认兼容。

报告条目过时 ↗建议修正翻译 ↗

一手来源

1. https://codegeeksai.github.io/en/blog/static-malware-analysis-rea-codex/
2. src/content/posts/en/static-malware-analysis-rea-codex.md GitHub · codegeeksai/codegeeksai.github.io · 修订 8384782
3. https://codegeeksai.github.io/it/blog/analisi-statica-malware-rea-codex/
4. src/content/posts/it/analisi-statica-malware-rea-codex.md GitHub · codegeeksai/codegeeksai.github.io · 修订 8384782