用途：该技能面向可疑二进制文件的安全分析，支持格式包括 exe、dll、sys、bin、ocx、scr、cpl、drv，用于判定文件是否恶意、进行反编译、提取字符串/导入/导出、识别恶意软件能力与手法，并生成威胁评估报告。适用于分析可疑可执行文件、反编译理解行为、识别木马/勒索软件等恶意程序、对未知二进制做静态分析。
主要能力：使用远程 Ghidra MCP 工具完成反编译（汇编转伪 C 代码）、字符串分析（提取可读字符串用于 IoC 识别）、导入/导出分析（识别 API 调用与依赖）、函数分析（梳理程序逻辑与控制流）、行为指标识别（注册表操作、网络调用、进程注入等）。静态分析技术涵盖 PE 头检查、节区分析（.text、.data、.rdata、.rsrc）、导入地址表（IAT）审查、字符串痕迹提取与代码签名验证。行为指标关注反调试、混淆/加壳、可疑 API 调用（如 CreateRemoteThread、WriteProcessMemory）、网络通信模式、持久化机制与提权尝试。可对常见类别分类：木马/RAT、勒索软件、广告软件/PUP、Rootkit、蠕虫、间谍软件、浏览器劫持。
使用方式：必须先将要分析的二进制文件上传至远程环境，之后才能调用任何 Ghidra 或沙箱工具。随后用 Ghidra MCP 工具执行分析，最后按报告格式输出：文件信息（名称、大小、MD5、SHA256）、分析摘要、详细发现、威胁评估（严重性、分类、置信度）以及建议行动。
安全限制：切勿在本地系统执行该二进制文件；所有分析在远程沙箱环境中进行，文件会被自动隔离；仅使用 Ghidra 静态分析工具；需记录全部发现以供事件响应。
其他细节（如具体安装命令、收费、价格、平台支持范围等）暂未提供。