用途：对勒索软件样本的加密例程进行逆向工程，识别其使用的密码算法、密钥生成方法、初始化向量、文件定向模式及实现缺陷，以评估是否可在不支付赎金的情况下解密。适用于授权的安全测试、受控环境下的恶意样本分析、红队演练以及基于攻击技术理解构建检测能力。
主要能力：识别 Windows CryptoAPI（CryptAcquireContext、CryptGenKey、CryptEncrypt 等）与 CNG（BCryptGenerateSymmetricKey、BCryptEncrypt 等）及 OpenSSL 调用；在 PE 文件中搜索 AES S-Box、ChaCha20 常量与 RSA 公钥标记；分析加密文件是否在末尾附加加密密钥材料、估算尾部数据熵值、判断原文件头是否保留；提取目标文件扩展名列表；评估硬编码密钥、弱随机数、IV 重用、ECB 模式、内存残留密钥等潜在解密机会。
使用方式：技能提供 Python 脚本示例，需 Python 3.9+ 及 pycryptodome、pefile。运行方式为命令行传入样本路径，例如 python 脚本 <ransomware_sample>。分析流程包括：用 IDA Pro/Ghidra 静态反汇编、x64dbg/WinDbg 动态调试、用 pefile 分析导入表、搜索加密常量、分析加密文件产物。需在沙箱环境中安全执行样本。
限制：资料未提供具体安装命令、收费标准或平台支持范围；仅适用于授权测试与受控分析环境，实际解密可行性取决于样本是否存在实现缺陷；工具输出为启发式判断，需人工复核。