用途：该技能让 OpenClaw 对提供的样本执行恶意软件分析，结合静态技术（二进制反汇编、签名匹配）与动态技术（沙箱执行、行为监控），检测威胁、提取失陷指标（IOC）并生成报告。适用于事件响应中的可疑文件、威胁狩猎中的零日恶意软件识别，以及逆向工程工作流；当拥有文件哈希、二进制样本或网络抓包且希望自动化分析时可使用。
主要能力：静态分析可解析 PE/ELF 文件、提取字符串并按 YARA 规则匹配签名；动态分析在隔离虚拟机中执行样本，监控 API 调用（如 Windows API 挂钩）并检测持久化机制；输出含 IP、域名、注册表键等 IOC 的 JSON 报告；可通过 API 查询 VirusTotal 等外部情报源交叉比对；支持从文件加载用户自定义 YARA 规则。
使用方式：通过 OpenClaw CLI 或 API 调用，需通过 $MALWARE_API_KEY 环境变量提供认证。CLI 示例：oc malware analyze --file /path/to/sample.exe --type static --yara-rules rules.yar；oc malware dynamic --file sample.zip --timeout 300 --output report.json。API 端点：POST /api/malware/analyze，请求头 Authorization: Bearer $MALWARE_API_KEY，请求体为含 file、type、rules 的 JSON。SDK 用法：import openclaw; client = openclaw.Client(api_key=os.environ['MALWARE_API_KEY']); result = client.analyze(file_path='sample.exe', analysis_type='static')。配置可用 YAML 指定 apiKey、sandbox.url、sandbox.timeout、yaraRules。
集成与限制：可作为模块加入智能体脚本，与逆向工程、入侵检测等技能串联，需 OpenClaw 版本 >=2.5。调用应包裹 try-except 处理无效文件类型或 API 失败，CLI 检查退出码（如 1 表示认证错误），API 解析 HTTP 状态（401 缺少密钥、400 输入格式错误），瞬时错误可指数退避重试最多 3 次。资料未提供具体收费、价格与平台支持范围。