ZONE.CI 全球网

本文源码级解读免杀工具Beatrice.py，其核心思路是通过等长等价指令替换规避静态签名检测，实现简洁但存在多处不等价替换和代码bug。对防御方的价值在于工具输出自带可建模的统计指纹，公开补丁表可作为新YARA规则素材。建议检测工程师关注push/pop搬运寄存器、sub置零等异常指令分布特征。