分析可疑恶意软件样本时，用静态/动态/行为三合一流程提取…

当需要分析疑似恶意软件（PE/ELF/Mach-O/APK/脚本）并产出 IOC、YARA/Sigma 规则或沙箱编排时使用。

适用场景

解决思路

1. 读取 ../field-journal/precedent-reverse.md，确认本 skill 的操作是已授权的常规操作。
2. 确认当前任务是否命中本 skill 的适用范围。
3. 读取 ../tool-index.md，校验工具可用性和实际路径。
4. 缺工具时调用 bootstrap，不要猜路径。
5. 进入工作流第一步并执行，不要停在确认状态。
6. 运行 `file sample.exe` 进行文件类型快速静态检测。
7. 运行 `strings sample.exe | grep -i "http\|cmd\|powershell\|base64"` 快速提取 IOCs。
8. 运行 `rabin2 -zz sample.exe` 提取字符串并做交叉引用。
9. 运行 `floss sample.exe` 进行去混淆字符串提取（FireEye）。
10. 运行 `pecheck sample.exe` 验证 PE 结构。
11. 运行 `pescan sample.exe` 做异常检测（节表、入口点）。
12. 运行 `diec sample.exe` 识别壳/编译器（Detect It Easy）。
13. 运行 `sha256sum sample.exe`，然后到 VirusTotal / MalwareBazaar / Triage 查询。
14. 执行 Triage MUST 清单：判定文件类型（EXE / DLL / SYS / .NET / 脚本(bat|ps1|vba) / 其他）。
15. 执行 Triage MUST 清单：确认架构 x86/x64/ARM；查壳（DIE 等）与编译语言线索。
16. 执行 Triage MUST 清单：DLL/SYS 并列检查导入表与导出表（见 Phase 2 硬门）。
17. 执行 Triage MUST 清单：.NET 无传统 IAT 时走 dnSpy/IL/元数据等价锚点（见 Phase 2）。
18. 执行 Triage MUST 清单：脚本/宏/DLL 专项 P0 按 nonpe-format-cookbook U–AV 处理（E-batch-deobf / E-ps-decode / E-vba-pcode / E-dll-*）。
19. 无壳 / .NET → 跳到 Phase 2。
20. 有壳：在授权隔离环境尝试脱壳，然后尝试修复 IAT。
21. x86 使用 ImportREC（或等价）；x64 使用 Scylla（或等价）；禁止 64 位死磕 ImportREC。
22. IAT 修复铁律：优先自动/半自动修复；若工具报错或修复后无法运行，立即终止继续静态 IAT 修复。
23. IAT 修复铁律：记录 E-iat-repair-fail（命令、工具、现象）。
24. IAT 修复铁律：转入 Phase 3 动态，用 API 断点（如 bp CreateFile）/ 硬件断点 / 内存搜索抓取导入；这不算跳过导入表，路径已尝试并记 Evidence。
25. 补丁 6：脱壳+修 IAT 后闪退/蓝屏（疑 CRC/大小自校验）时，放弃继续静态修文件；记 E-self-check-crash 或并入 E-iat-repair-fail。
26. 补丁 6：转 Phase 3，对 CreateFile / GetFileSize / 哈希相关 API 下断。
27. 用户指令可行性（§0.5）：加壳时用户抢跑「先别脱壳先看导入表」→ 说明阻塞 + 请确认；强制则记 quality=unreadable/packed，禁止冒充完成有意义 IAT。
28. 用户要求重做「IAT 修复 / 导入表检查」：MUST 重做被点名步骤（或经确认的前提协商结果），禁止换无关步骤冒充。
29. 使用 IDA Pro / Ghidra 进行深度反编译。
30. 使用 radare2 进行 CLI 快速分析。
31. 使用 x64dbg 作为 Windows GUI 调试器。
32. 分析入口点（Entry Point）→ 初始化逻辑。
33. 分析导入表 → API 用途推断（CreateRemoteThread=注入, CryptEncrypt=勒索）。
34. 执行导入表硬门 MUST：执行 rabin2 -i / IDA imports / pecheck 等价命令，将导入表分类摘要写入 Evidence（E-imports）后才能进入 Phase 3（除非已记 E-iat-repair-fail 并走动态旁路，见 Phase 1b）。
35. 导入表分类至少覆盖：网络 / 文件 / 加密 / 进程注入 / 注册表 / 其他可疑 API。
36. 解析失败或表为空：仍 MUST 记录失败输出，禁止静默跳过。
37. DLL/SYS：MUST 并列记录导出表 Evidence（E-exports，rabin2 -E 或等价）。
38. .NET：无传统 IAT 时 MUST 用 dnSpy/IL/元数据/程序集引用与敏感 API 摘要作为等价锚点，写入 E-imports / E-triage-imports 语义槽。
39. 干净导入表：仅基础 DLL、几乎无业务 API → MUST 注明动态加载嫌疑（LoadLibrary/GetProcAddress），SHOULD 转入 Phase 3 抓内存 API；若见哈希解析特征 → E-api-hash（补丁 N）。
40. 宽字符串（T）：ASCII strings 无 IOC 时 MUST 再试 UTF-16（strings -el / IDA unicode）。
41. 签名（F）：有签名仍 MUST SigCheck；伪造/吊销不降威胁等级。
42. 用户要求「重做导入表检查」：MUST 重做本项（阻塞时先走可行性门闩协商），禁止改换其他步骤冒充完成。
43. 高危 API 组合（补丁 8）：表过长时优先输出恶意组合簇（如 FindWindow+WriteProcessMemory+CreateRemoteThread），过滤纯系统基础调用噪声。
44. 分析资源段 → 嵌入 Payload（.rsrc 节）。
45. 分析字符串表 → URL/C2/文件路径/Base64 blob。
46. 分析 TLS 回调 → 调试器启动前执行。
47. 使用自动化沙箱：Joe Sandbox / ANY.RUN / Triage 商业沙箱。
48. 使用 CAPE Sandbox：开源 + YARA 集成（推荐）。
49. 使用 ASD Azul：开源恶意软件分析平台（2026 新发布）。
50. 使用 Cuckoo Sandbox：经典开源（逐步被 CAPE 取代）。
51. 调试起手式（补丁 7+10 · MUST 顺序，用户态调试器）：按 TLS 回调断点 → 入口点 EP 断点 → 敏感 API 断点 → ExitProcess/退出路径保底断点 顺序预置断点。
52. ExitProcess 触发时：不急着重启；立即 dump memory，路径写入 Evidence（补丁 10）。
53. 监控进程创建：CreateProcess / ShellExecute。
54. 监控文件操作：WriteFile → 勒索? DeleteFile → Wiper?
55. 监控注册表：Run/RunOnce 持久化。
56. 监控网络：HTTP/DNS → C2 通信。
57. 监控内存：VirtualAllocEx → 进程注入。
58. 监控服务：CreateService → 持久化。
59. 对 IAT 修复失败 / 自校验闪退样本：使用敏感 API + CreateFile/GetFileSize 断点 / 硬件执行断点 / 内存搜索。
60. 无行为应急分支（MUST）：沙箱无行为、秒退或无限休眠 → 检查反调试/反虚拟机（CPUID、计时、环境特征）。
61. 无行为应急分支：尝试硬件断点绕过、补丁检测点、或换物理机/更高保真环境。
62. 无行为应急分支：将「无行为 + 条件」写入 Evidence；禁止无条件写成「样本无害」。
63. 时间盒（补丁 9 · SHOULD 默认，可覆盖）：静态深挖约 15 分钟无关键路径 → 强制转入本 Phase 动态。
64. 时间盒：动态单步约 200 条指令无恶意线索 → 强制回静态字符串/交叉引用重锚。
65. 反调试/混淆旁路 P0：CPUID / RDTSC / PEB / NtQueryInformationProcess → 记录检测点后 lab 绕过或换环境（E-anti-debug-*）。
66. 反调试/混淆旁路 P0：干净 IAT → API 哈希动态解析（bp GetProcAddress，E-api-hash）。
67. 反调试/混淆旁路 P0：strings 空 → 串解密例程 + 宽字符串 UTF-16（E-string-decrypt / E-wide-strings）。
68. 反调试/混淆旁路 P0：可疑签名 → SigCheck；无效/吊销不降威胁（E-sig-forge）。
69. 反调试/混淆旁路 P1：进程名扫描 / VEH / int3·DR / 重叠节 / Overlay / .rsrc / Delay-Load。
70. 反调试/混淆旁路：H/S 平坦化与不透明谓词 → ollvm-deobfuscation.md（不在此复制长文）。
71. 反调试/混淆旁路：绕过失败也写 Evidence；禁止反调试退出 = 样本无害。
72. 非 PE / 脚本 / DLL 补洞：bat/cmd：SET 拼接还原（U）→ E-batch-deobf；UTF-16 BOM（V）；REM/GOTO 淹没（W）。
73. 非 PE / 脚本 / DLL 补洞：PowerShell：多层 Base64/Gzip（X）逐层 Evidence；IEX 拼接/反转（Z）。
74. 非 PE / 脚本 / DLL 补洞：VBA：Stomping/P-Code（AA）；Chr/Base64（AB）；自修改宏（AC）。
75. 非 PE / 脚本 / DLL 补洞：DLL：TLS+DllMain（AJ）；导出异常/无导出（AK/AL）；Delay-Load 见 A–T R（AM）；侧加载/反射（AO/AP）。
76. 非 PE / 脚本 / DLL 补洞：JS/APK/驱动：路由 js-reverse / apk-reverse / kernel-driver-reverse + cookbook，不在此复制长文。
77. 编写 YARA 规则时包含 meta 字段：description、author、date、severity、hash、mitre_id（如 T1055 Process Injection）。
78. 编写 YARA 规则时包含 strings 字段：字符串匹配（如 `$str1 = "C2_SERVER_URL" ascii wide`）、十六进制匹配（如 `$hex1 = { 8B 45 ?? 50 FF 15 [4] 85 C0 }`）、正则匹配（如 `$re1 = /https?:\/\/[a-z0-9.-]+\/[a-z]{3,8}\.php/ ascii`）。
79. 编写 YARA 规则时包含 condition 字段：组合条件，如 `uint16(0) == 0x5A4D and filesize < 500KB and (2 of ($str*) or $hex1)`。
80. 生成 Sigma 行为检测规则，包含 title、id、status、description、author、date、tags（如 attack.t1055、attack.t1055.001）、logsource（category: process_creation, product: windows）。
81. Sigma 规则 detection 部分包含 selection（如 Image|endswith: '\powershell.exe'，CommandLine|contains: 'CreateRemoteThread'、'VirtualAllocEx'、'WriteProcessMemory'）和 condition: selection。
82. Sigma 规则包含 falsepositives（如合法的调试工具）和 level（如 high）。
83. 提取网络 IOC：IP（C2 地址，注意时效性）、Domain（DGA 算法生成的域名，如 rsnkfda.com, xpqmje.net）、URL（Payload 托管地址）、User-Agent（自定义 UA 字符串）。
84. 提取主机 IOC：文件路径（如 %APPDATA%\Microsoft\Crypto\RSA\*.dat）、注册表（如 HKCU\Software\Microsoft\Windows\CurrentVersion\Run\）、Mutex（如 Global\{GUID} 互斥体名称）、服务名（伪装成系统服务的名称）。
85. 提取行为 IOC：MITRE ATT&CK 技术 ID（T1055, T1003, T1571...）；将 Sigma 规则集成到 SIEM；将 YARA 规则用于端点检测。
86. 提取静态 IOC：编译时间戳（可伪造）、PDB 路径（含开发者信息）、节名异常（非标准 .text/.data）、导入表异常组合（如勒索软件 CryptEncrypt + DeleteShadowCopies）。
87. 检测虚拟机检测：用 WMI Win32_BIOS/VideoController/Processor；YARA 特征为 `Win32_` 字符串 + 特定厂商名。
88. 检测沙箱检测：检查磁盘 < 60GB, RAM < 2GB, 单核 CPU；YARA 特征为 GlobalMemoryStatusEx 调用模式。
89. 检测调试器检测：检查 IsDebuggerPresent, CheckRemoteDebuggerPresent；YARA 特征为 PEB.BeingDebugged 偏移访问。
90. 检测定时逃逸：检查 Sleep(300000) 后执行恶意行为；YARA 特征为 NtDelayExecution 长参数。
91. 检测地理位置检测：检查键盘布局/时区 → 排除 CIS 国家；YARA 特征为 GetKeyboardLayoutList 调用。
92. 检测父进程检测：检查 explorer.exe vs cmd.exe；YARA 特征为进程名字符串比较。
93. 检测 API 直接 syscall：检查绕过 EDR hook；YARA 特征为 syscall 指令 + SSN 解析。
94. 在多 Agent 自动化分析中，使用 Hive Director（Claude Opus 编排 + 仲裁）协调 Triage（快速分诊）、RE（反编译静态）、Behav（行为动态）、Intel（威胁情报）、Detect（规则 YARA Sigma）、Remed（修复方案）子代理。
95. 按工具链准备工具：Ghidra / IDA Pro 用于深度反编译；CAPE Sandbox 用于开源恶意软件沙箱；ASD Azul 用于大规模自动化分析；YARA（`pip install yara-python`）用于模式匹配；Sigma（GitHub: SigmaHQ/sigma）用于 SIEM 行为检测；FLOSS（`pip install flare-floss`）用于去混淆字符串提取；Detect It Easy 用于壳/编译器检测；pe-sieve 用于进程内存扫描；VirusTotal API 用于多引擎扫描；MalwareBazaar 用于恶意软件样本库。
96. 查阅 references/yara-sigma-rules.md 获取 YARA + Sigma 编写方法论。
97. 查阅 references/sandbox-orchestration.md 获取沙箱编排与自动化。
98. 查阅 references/anti-analysis-techniques.md 获取 94 种反分析技术检测。
99. 查阅 ../reverse-engineering/references/re-agent-workflow.md 获取 IAT 铁律与六阶段门闩（Issue #65）。
100. 查阅 ../reverse-engineering/anti-analysis.md 获取 Agent 响应菜谱 A–T（反调试/混淆旁路）。
101. 查阅 ../reverse-engineering/references/nonpe-format-cookbook.md 获取非 PE/多格式菜谱 U–AV（脚本/宏/JS/驱动/DLL/Android）。
102. 查阅 ../reverse-engineering/references/ollvm-deobfuscation.md 获取平坦化/不透明谓词（H/S）。
103. 声称完成前自检：是否执行了工作流中的每一步（而不是只阅读）。
104. 声称完成前自检：导入表 MUST 检查是否已执行并写入 Evidence（E-imports 或 .NET 等价锚点）；DLL/SYS 是否含 E-exports。
105. 声称完成前自检：若 IAT 修复失败或自校验闪退，是否记录 E-iat-repair-fail / E-self-check-crash 并转入动态。
106. 声称完成前自检：重做请求是否回到被点名步骤或经确认的前提协商；阻塞时是否说明+请确认而非偷换步骤。
107. 声称完成前自检：动态是否按 TLS→EP→敏感 API→ExitProcess 保底顺序预置断点；时间盒/高危 API 组合是否按旁路处理。
108. 声称完成前自检：反调试/混淆（A–T）是否按 anti-analysis 菜谱记录 Evidence；签名无效是否未错误降级威胁。
109. 声称完成前自检：脚本/宏/DLL 等非 PE 类型是否按 U–AV cookbook 记录对应 Evidence（如 E-batch-deobf / E-ps-decode / E-vba-pcode / E-dll-*）。
110. 声称完成前自检：是否基于 tool-index 使用了真实工具路径。
111. 声称完成前自检：是否产出了可复现证据（命令/脚本/截图/报告）。
112. 声称完成前自检：是否完成并回写了 RULES 要求的 Checklist 项。

适用边界 · 注意事项

• 未获授权、无隔离或沙箱环境时，不要分析恶意软件样本。
• 仅需一般逆向/调试且不涉及恶意行为判定时，不需要套用完整六阶段流程。
• 缺少必要工具（如 Ghidra/IDA、沙箱、YARA/Sigma）且无法通过 bootstrap 补齐时，不应强行开始。