用途：面向无文件（fileless）恶意软件的检测与调查，适用于EDR告警来自可信系统二进制（PowerShell、mshta、wmic、regsvr32）异常行为、磁盘无传统恶意文件、需分析WMI事件订阅/注册表载荷/计划任务持久化、构建LOLBin滥用检测规则、内存取证发现无对应文件的恶意代码等场景。不适用于传统基于文件的恶意软件。
主要能力：
- LOLBin识别：mshta、regsvr32（Squiblydoo）、certutil、rundll32、wmic、bitsadmin、cmstp等滥用模式与命令行特征。
- WMI持久化检测：枚举__EventFilter、CommandLineEventConsumer、ActiveScriptEventConsumer、__FilterToConsumerBinding，解析Sysmon事件ID 19/20/21。
- 注册表驻留载荷：扫描Run、Environment及自定义键，查找Base64大值与PowerShell关键字。
- 内存取证：vol3 windows.malfind、vadinfo、cmdline，YARA扫描规则存放于references/yara-fileless-powershell.yar，并提取内存字符串特征。
- 检测规则：提供Sigma规则示例，覆盖LOLBin网络参数与WMI事件订阅。
- 攻击链梳理：从初始访问、执行、持久化、提权、横向移动到数据外传。
必要用法/命令：
- wmic /namespace:"\root\subscription" path __EventFilter get Name,Query /format:list
- reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /s
- vol3 -f memory.dmp windows.malfind
- vol3 -f memory.dmp yarascan.YaraScan --yara-file /path/to/yara-fileless-powershell.yar 需启用Sysmon（进程创建、WMI、注册表）、PowerShell Script Block与Module Logging。
限制：需预先部署日志与内存采集，重启会破坏内存证据；部分杀软可能将SKILL.md误判为恶意（已知误报，可加排除）；仅涉防御性检测，内容为教育用途。