该论文提出了一种结合 Ghidra 和大语言模型（LLM）的系统，用于从 IoT 恶意软件二进制文件中自动提取通信规范并生成伪 C2 服务器，从而解决动态分析中因攻击基础设施短暂存活而导致的样本休眠问题。大多数 IoT 恶意软件作为依赖 C2 服务器的僵尸网络运作，但攻击基础设施短命，常常导致样本在动态分析时无法进行 C2 通信，使得分析受限。该系统首先利用 Ghidra 对恶意软件二进制进行反编译和静态分析，然后通过 LLM 语义解释二进制控制结构，提取协议元素（如命令格式、参数、加密方式等）。实验基于 Mirai 恶意软件，系统成功提取了所有 20 个核心协议元素，与 ground truth 完全一致，规范提取准确率达到 100%。生成的伪 C2 服务器能够完整复现十个 DDoS 攻击向量中的七个，攻击行为与原始 C2 一致。此外，在针对公开 Mirai 源代码修改而来的定制变种上，该方法也实现了端到端成功——从规范提取到伪 C2 生成再到攻击复现，证明了 LLM 能够从二进制结构推断规范而不依赖预训练知识。该工作将 LLM 的应用从分析辅助扩展到动态分析环境的自动构建，为 IoT 恶意软件分析提供了新的自动化手段。