mcpField
M
malware-triage

malware-triage

github.com/securityskills安全0164 次安装9 周前更新
代码仓库

关于 malware-triage

面向安全分析人员的恶意软件分析技能，用于评估可疑样本并整理可执行的发现。内容涵盖安全处理、静态与沙箱动态分析、行为提取、分类报告及升级分析的条件。

主要功能

  1. 01安全处理样本的指导
  2. 02静态文件与元数据检查
  3. 03基于沙箱的行为监控
  4. 04提取持久化与网络指标
  5. 05分类发现并生成报告

适用场景

  1. 01在隔离环境中分析可疑文件
  2. 02收集哈希、字符串和网络指标
  3. 03编写检测建议与分析摘要

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/securityskills/skills --skill malware-triage

安装后在 Claude Code 中输入/malware-triage确认已加载。

详细介绍

恶意软件初步分析

安全地分析可疑样本，并快速提取可操作的指标。

安全第一

  • 使用隔离的 VM 或专用沙箱（Cuckoo/ANY.RUN/供应商沙箱），模拟网络或将网络流量引入黑洞
  • 将样本存放在受密码保护的压缩包中，并以哈希值命名；切勿在与分析相邻的主机上打开样本
  • 使用快照进行分析；每次引爆样本后都恢复快照

1. 静态初步分析

  • 哈希值（MD5/SHA256）、文件类型、熵（file、类似 pestudio 的概览）
  • 字符串：URL、互斥体、注册表路径、PDB 路径、C2 特征
  • PE 特征：值得关注的导入项（网络、进程注入、加密 API）、数字签名有效性、加壳器检测（熵值 + 节区名称）
  • 文档元数据（Office 宏、嵌入对象、远程模板）

2. 动态引爆

  • 在沙箱中执行并监控：文件、注册表、网络、进程活动
  • 捕获：释放的文件、持久化机制、C2 信标（包含端口/协议的域名/IP）
  • 依赖触发条件的恶意软件：需要模拟用户交互、地理位置/命运检查或调试器感知；若无响应，则升级为调试分析

3. 行为提取

  • 持久化：Run 键、服务、计划任务、WMI 订阅
  • 注入：进程空洞化、APC、SetWindowsHookEx 目标
  • 数据外传：DNS 隧道特征、HTTP POST 结构、已知协议的信标
  • 防御规避：停止 AV 服务、修补 AMSI/ETW、篡改时间戳

4. 分类与报告

  • 使用 YARA 规则对照样本集进行家族归因；注明置信度
  • 将观察到的行为映射到 ATT&CK 技术
  • 输出：IOC（机器可读格式，如有需要则使用 STIX）、检测指南（YARA + 行为）以及一页式初步分析摘要

升级分析的标准

仅在检测/响应需要重建 C2 协议、提取配置或脱壳时，才进行深入逆向分析（IDA/Ghidra）；不要出于好奇而分析。

评论

支持 Markdown