malware-analysis

仓库创建 2026年5月19日最近提交 24 天前SkillHot 收录 21 天前

▸ 精选理由

覆盖 capa/YARA、内存取证与 C2 检测，适合深度分析场景。

▸ 风险提示

含可执行分析与攻击性技术，可能违法；请在隔离环境与合规前提下使用。

这个 Skill 做什么

对可疑二进制/脚本进行静态与动态的恶意软件分析与溯源。

把可疑二进制或脚本拆解成能理解的行为：静态打标签（capa/YARA-X）、沙箱/模拟运行与动态内存取证（Volatility 3），并提取 C2 配置与网络行为（例如 Cobalt Strike 的 beacon）。常用于判断样本是否恶意、还原 fileless 或内存载荷并生成 IOCs，优势是同时产出检测线索和溯源证据。

▸ 展开 SKILL.md 英文原文

Use when reverse-engineering or detecting malware — static triage + capa/YARA-X, emulation/DBI/.NET unpacking, dynamic/fileless/Volatility 3 memory analysis, C2 config extraction (Cobalt Strike/CAPE), C2 traffic detection (JA4+, beaconing)

垂直行业恶意软件分析静态/动态分析YARA通用

326

Stars

Forks

仓库内 Skill

+15

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/hypnguyen1209/offensive-claude/main/skills/malware-analysis/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/hypnguyen1209/offensive-claude/main/skills/malware-analysis/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

# Malware Analysis

## When to Activate

- Triaging an unknown binary/script: identity, packing verdict, capability map, IOCs, go/no-go for detonation.
- Recovering the real payload from a packed/crypted/obfuscated loader (commodity loaders, RAT chains, .NET).
- Detonating safely and recovering **fileless / in-memory** artifacts (injection, AMSI/ETW patching, WMI persistence).
- Extracting malware configuration (C2, keys, sleep/jitter, campaign IDs) for threat intel and detection.
- Detecting/characterizing C2 on the wire (beacon cadence, JA4+ fingerprints, tunneled/DoH channels).
- Writing durable, low-FP YARA-X detection from analysis findings; incident-response scoping.

## Technique Map

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有