• 奇怪的部分表明此样本可能已被打包，尤其是“.leopard”部分。您可以尝试搜索此部分名称是否与已知打包程序相关，并尝试对其进行动态解包。否则，您可以使用像“Unpack.me”这样的解包服务，将您的样本放入其中，然后等待有效载荷。

请记住，仅通过文件的部分来判断文件并不是真正有效的。这不是因为你有一个奇怪的部分的名称/大小，这是 100% 恶意的。尝试全面了解这个二进制文件在何时何地做什么，你就可以判断这是否是恶意的。

• 正如你所说的，“RDTSCP 技巧”实际上是一条 CPU 指令。再一次，这并不表明这是恶意软件（不仅仅是这条指令）。但想法是这条指令返回 CPU 的当前“时间戳”。如果恶意软件在执行重要操作之前和之后监控它的执行时间，它可能能够检测到是否有人在此例程中放置了断点。由于一组多条 CPU 指令之间的差值非常低，如果该差值增加（减去执行后和之前的时间戳），恶意软件可以检测到有人暂停了执行。