用途：拿到样本 hash、域名或 IP 后查询已知恶意背景，解读沙箱报告，做家族/团伙关联与 MISP 事件关联，并在分析完成后用外部情报佐证结论。纯离线环境或只想跑行为分析时不适用，后者走 re-sandbox / re-behavior。
主要能力：VirusTotal 网页与 API 查询 hash/域名/IP，看检测数、厂商命中、tags、popular_threat_category；Any.run 与 hybrid-analysis 查公开沙箱报告，解读进程树、持久化、网络回连、释放文件；VT graph 与 tag 做家族关联；MISP 做团队内部事件关联；结果汇总进 re-ioc 报告。
使用方式：VT API key 存环境变量 VT_API_KEY（export VT_API_KEY=...，Windows 用 setx），验证 [ -n "$VT_API_KEY" ] && echo ok。查询示例：curl -s --request GET --url "https://www.virustotal.com/api/v3/search?query=<sha256_or_domain_or_ip>" -H "x-apikey: $VT_API_KEY" | jq '.data[0].attributes | {last_analysis_stats, names, tags, popular_threat_category}'。关联图端点为 /graphs（复数），/graph 在 v3 返回 404。hybrid-analysis 用请求头 api-key。MISP 查询用 POST /events/restSearch，body 必须原样 JSON，不能用 --data-urlencode。可选安装 jq 解析 JSON。
适用场景：样本定性、沙箱报告解读、家族判定、内部情报库比对、IOC 报告撰写。
限制：本技能以查询与解读为主，不运行样本，动态执行须在 re-sandbox 隔离环境内。VT 无结果不等于干净，私有样本查不到是常态，只能标“未见记录”并注明查询时间。上传私有样本前须确认数据策略，VT 与沙箱默认共享数据。沙箱报告可能因反沙箱而假阴性，需与行为、内存证据交叉验证。免费 API key 有配额与限速，批量查询需加间隔。单厂商误报需多厂商一致加行为证据确认。MISP 无实例时跳过，不阻塞结论。