用途：解析和分析 Cobalt Strike Malleable C2 配置文件。这类配置文件是定制 Beacon 与 team server 通信的领域特定语言脚本，可定义 HTTP 请求/响应转换、sleep 间隔、jitter 值、User-Agent、URI 路径与进程注入行为，攻击者借此将 C2 流量伪装成合法服务（如 Amazon、Google、Slack）。分析配置文件可提取用于检测的网络指标，包括 URI 模式、HTTP 头、POST/GET 转换、DNS 设置和进程注入技术。
主要能力：dissect.cobaltstrike 库既能解析配置文件，也能从 beacon payload 中提取配置；pyMalleableC2 基于 Lark 语法提供 AST 解析，支持程序化操作与校验。可提取 HTTP GET/POST 块的 URI、头、参数，识别 User-Agent 字符串与伪装目标，提取 sleep 时间、jitter 百分比与 DNS beacon 设置，分析进程注入设置（spawn-to、分配技术），生成 Suricata/Snort 签名，与已知威胁行为者配置集合比对，提取 staging URI 与载荷投递机制。
使用方式：需 Python 3.9+，安装命令为 pip install dissect.cobaltstrike 或 pip install pyMalleableC2；使用 C2Profile.from_path("profile.profile") 解析配置文件。还需样例 Malleable C2 配置文件（可从公开仓库获取）、HTTP 协议与 Beacon 通信模型知识、用于部署签名的网络监控工具（Suricata/Snort）以及用于流量验证的 PCAP 分析工具。
适用场景：安全事件调查中需要分析 Cobalt Strike Malleable C2 配置文件时；为该领域构建检测规则或威胁狩猎查询时；SOC 分析师需要结构化分析流程时；验证相关攻击技术的安全监控覆盖度时。
预期输出：JSON 报告，包含提取的 C2 URI、HTTP 头、User-Agent、sleep/jitter 设置、进程注入配置、派生进程路径、DNS 设置以及生成的 Suricata 兼容检测规则。
限制：具体效果、收费方式与价格、支持的平台范围暂未提供。