mcpField
C
competition-malware-config

competition-malware-config

github.com/zhaoxuya520安全43.7k93 次安装5 周前更新
代码仓库

关于 competition-malware-config

面向 CTF 沙箱恶意软件分析的专项技能，用于还原样本隐藏的配置字段、解码阶段和网络参数。它以前置的 `$ctf-sandbox-orchestrator` 为基础，将解码结果与样本行为和网络证据对应起来。

主要功能

  1. 01区分加载器、载荷与配置
  2. 02定位配置存储边界
  3. 03重建分阶段解码链
  4. 04记录密钥、偏移和字段
  5. 05关联配置字段与样本行为

适用场景

  1. 01提取加密或混淆配置
  2. 02还原信标路径或任务路由参数
  3. 03结合 PCAP 与进程树验证配置用途

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill competition-malware-config

安装后在 Claude Code 中输入/competition-malware-config确认已加载。

附带文件agents/openai.yamlreferences/malware-config.md

详细介绍

竞赛恶意软件配置

仅当 $ctf-sandbox-orchestrator 已激活，并已确立沙箱假设、节点归属和证据优先级之后，才将此技能作为下游专项使用。如果尚未满足这些条件，请先回到 $ctf-sandbox-orchestrator。

当决定性的价值不仅在于“样本做了什么”，还在于样本隐藏了哪些配置字段、阶段或网络参数，以及它们在何时变为明文时，请使用此技能。

除非用户明确要求英语，否则用简体中文回复。

快速开始

  1. 在解包或打补丁之前保留原始样本。
  2. 分离加载器、载荷、配置 blob 和解码后的行为。
  3. 按熵、字段形态、附近字符串和解码辅助函数对候选配置 blob 排序。
  4. 记录每个恢复字段的确切变换链。
  5. 从尽可能最小的路径复现解码后的配置或信标参数。

工作流

1. 找到配置边界
  • 检查节区、资源、嵌入式归档、字符串、导入和解码辅助函数。
  • 识别配置存储在哪里：资源、覆盖层、加密 blob、注册表种子、网络引导或 stage2 内存。
  • 记录每个值何时变为明文。
2. 重建解码链
  • 按顺序恢复链条：容器 -> 压缩 -> 编码 -> xor/替换 -> 加密 -> 解析。
  • 将来自同一链条的所有配置字段归为一组，而不是把它们当作互不相关的线索。
  • 在一个紧凑的证据块中保留哈希、偏移、密钥、IV、掩码和已解析字段。
3. 将配置与行为关联
  • 说明哪个字段影响哪个分支：信标路径、互斥体、钱包、bot id、活动、任务路由、持久化名称或进程目标。
  • 在可能的情况下，将解码后的配置与 PCAP、进程树或 stage2 字符串关联起来。

阅读此参考

  • 加载 references/malware-config.md，了解配置搜寻清单、分阶段样本清单和证据打包规则。

应保留什么

  • 将原始工件、解包层、转储 stage 和已解析配置作为独立工件保留
  • 偏移、哈希、解码辅助函数、密钥、掩码和字段名
  • 每个恢复字段实际影响的分支或协议步骤

评论

支持 Markdown