competition-malware-config について
CTF サンドボックスでのマルウェア分析向けに、隠された設定フィールド、デコード段階、ネットワークパラメーターを復元するスキルです。`$ctf-sandbox-orchestrator` を前提とし、復号した値をサンプルの挙動やネットワーク証拠と結び付けます。
主な機能
- 01ローダー、ペイロード、設定の分離
- 02設定の格納境界の特定
- 03段階的なデコード手順の復元
- 04キー、オフセット、フィールドの記録
- 05設定フィールドと挙動の関連付け
活用シーン
- 01暗号化または難読化された設定の抽出
- 02ビーコンパスやタスクルートの復元
- 03PCAPやプロセスツリーによる設定用途の検証
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/competition-malware-configを入力して読み込まれたか確認します。
同梱ファイルagents/openai.yamlreferences/malware-config.md
詳細
競技マルウェア設定
このスキルは、$ctf-sandbox-orchestrator がすでにアクティブで、サンドボックスの前提、ノードの所有権、証拠の優先順位が確立されている場合にのみ、下流の専門分野として使用してください。まだそれが行われていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。
このスキルは、決定的な価値が単に「サンプルが何をするか」だけでなく、サンプルがどの設定フィールド、ステージ、またはネットワークパラメータを隠しているか、そしてそれらがいつ平文になるかにある場合に使用してください。
ユーザーが明示的に英語を要求しない限り、簡体字中国語で回答してください。
クイックスタート
- アンパックまたはパッチを適用する前に、元のサンプルを保存します。
- ローダー、ペイロード、設定ブロブ、デコード後の動作を分離します。
- 候補となる設定ブロブを、エントロピー、フィールドの形状、近隣の文字列、デコードヘルパーによって順位付けします。
- 復元された各フィールドについて、正確な変換チェーンを記録します。
- 可能な限り最小の経路から、デコードされた設定またはビーコンパラメータを再現します。
ワークフロー
1. 設定の境界を見つける
- セクション、リソース、埋め込みアーカイブ、文字列、インポート、デコードヘルパーを調査します。
- 設定がどこに保存されているかを特定します: リソース、オーバーレイ、暗号化ブロブ、レジストリシード、ネットワークブートストラップ、または stage2 メモリ。
- 各値がいつ平文になるかのメモを1つ保持します。
2. デコードチェーンを再構築する
- チェーンを順番に復元します: コンテナ -> 圧縮 -> エンコーディング -> xor/置換 -> 暗号 -> パース。
- 同じチェーンからのすべての設定フィールドを、無関係な手がかりとして扱うのではなく、まとめてグループ化します。
- ハッシュ、オフセット、キー、IV、マスク、パースされたフィールドを1つのコンパクトな証拠ブロックに保存します。
3. 設定を動作に結び付ける
- どのフィールドがどの分岐に影響するかを示します: ビーコンパス、ミューテックス、ウォレット、ボット ID、キャンペーン、タスキングルート、永続化名、またはプロセスターゲット。
- 可能な場合は、デコードされた設定を PCAP、プロセスツリー、または stage2 文字列と関連付けます。
このリファレンスを読む
- 設定ハンティングのチェックリスト、段階的サンプルのチェックリスト、および証拠パッケージングのルールについては、
references/malware-config.mdをロードしてください。
保存すべきもの
- 元のアーティファクト、アンパックされたレイヤー、ダンプされたステージ、パースされた設定を別々のアーティファクトとして
- オフセット、ハッシュ、デコードヘルパー、キー、マスク、フィールド名
- 復元された各フィールドが実際に影響を与える分岐またはプロトコルステップ
コメント
Markdown 対応