用途：该技能用于在受控环境中动态执行可疑恶意样本，观察其运行时行为，包括进程创建、文件系统改动、注册表修改、网络通信与 API 调用，从而判定完整感染链、二阶段载荷下载与持久化机制，并可基于观察结果生成行为签名和 YARA 规则，也支持批量样本的自动化分析。资料提到当样本为可能通过网络共享扩散的已知勒索软件变种时应避免使用，需先确认网络隔离。
主要能力：通过 Cuckoo Sandbox 提交样本或 URL 并设置超时；在虚拟机中执行并实时监控进程树、网络连接、文件投放与注册表改动；解析 JSON 报告中的进程、API 调用、DNS、HTTP、TCP 记录；查看触发的行为签名与威胁评分；提取 PCAP 与内存转储，并用 Volatility 分析（如 windows.pslist、windows.malfind、windows.netscan）。
使用方式：先安装 Cuckoo Sandbox 3.x，配置 Windows 客户机快照、虚拟化后端、InetSim 或 FakeNet-NG 模拟服务，并可集成 Suricata 或 Snort。提交命令示例：cuckoo submit /path/to/suspect.exe；也可用 REST API 提交文件或 URL，并查看任务状态。随后根据报告分析进程、网络、文件与注册表，检查签名与评分，再分析内存转储。
适用场景：静态分析后的行为观察、批量样本自动化分析、确定感染链与持久化、提取投放文件哈希、识别 C2 与生成检测规则。
限制：资料未提供价格、具体平台兼容性细节或效果承诺。分析存在被沙箱规避的风险，超时不足可能导致二阶段载荷未执行；需保证网络隔离，并预留足够磁盘空间（建议至少 500 GB）。