该技能名为“恶意软件检测与移除”（malware-detection-and-removal），来源为 reason-machines/security-skills 技能集合，用于识别、分析并记录那些伪装成合法软件的恶意软件分发仓库。其核心目标不是编写恶意程序，而是帮助安全研究人员、开发者和普通用户判断软件来源是否可信，并在发现威胁时采取正确的处理与举报步骤。
一、用途 该技能主要用于识别以“破解软件”“激活工具”“密钥生成器”等名义传播恶意软件的仓库或下载源。它以伪装成 Bitdefender Total Security 破解版的仓库为例进行说明：该仓库并非合法的 Bitdefender 软件，而是利用搜索引擎优化关键词吸引寻找盗版软件的用户，实际可能分发恶意软件、勒索软件或信息窃取程序。技能强调这类仓库通常没有真实代码、README 为空，并使用具有误导性的主题词和人为抬高的星标来伪装可信度。
二、主要能力 技能提供了一套威胁识别与评估思路，包括：
-
关键词识别：关注“crack（破解）”“keygen（密钥生成器）”“loader（加载器）”“pre-activated（预激活）”“license key（许可证密钥）”“full version（完整版）”“activation（激活）”等诱导性词汇，以及出现当前年份之后的不实版本号。
-
仓库特征判断：检查是否存在实际源码、README 是否为空、仓库创建时间是否较新但星标增长异常迅速、提交历史是否缺失、主题标签是否包含“bypass（绕过）”“exploit（漏洞利用）”等术语、许可证是否为 NOASSERTION 或未提供。
-
威胁评分示例：技能中给出 Go 语言示例代码，通过破解类关键词、危险主题标签、高星标率且无 README 等条件累计分数，输出威胁等级（高风险、中风险或低风险）。
-
内容验证示例：通过遍历仓库路径，检查是否存在 .go、.py、.js、.cpp、.c 等源码文件，以及是否出现 .exe、.dll、.bat 等可疑可执行文件，帮助判断仓库是否为恶意软件投放器。
-
保护与举报思路：建议不要克隆或运行可疑仓库中的代码，并说明可通过平台的安全标签或官方滥用举报渠道提交报告。技能中给出一个概念性的举报数据结构与输出示例，提示实际提交需前往平台官方支持页面。
-
合法软件验证：建议仅从官方渠道获取安全软件，如官方站点、官方授权经销商和官方应用商店；验证要点包括官方域名使用 HTTPS、存在有效代码签名证书、可从官方来源获取校验和、不包含“crack”或“keygen”等描述。技能还给出使用 PowerShell 检查 Windows 可执行文件 Authenticode 签名状态的概念性示例。
三、使用方式 该技能以文档和示例代码形式呈现，供安全研究、教育培训和防御性分析使用。使用者可参考其中的威胁评分模型、关键词列表和内容扫描思路，对可疑仓库进行手动或脚本化排查。示例代码需要在对应语言环境中运行（如 Go、PowerShell），但技能本身不提供可直接部署的完整工具，也未说明是否需要特定依赖或安装命令。
四、适用场景 适用于识别伪装成破解软件的恶意仓库、评估第三方软件下载源的可信度、开展安全意识培训、协助平台举报恶意分发渠道，以及学习常见攻击向量（如虚假安装程序、信息窃取程序、勒索软件）的防御识别方法。
五、限制 该技能仅用于安全研究与教育目的，明确禁止利用其中的信息创建或分发恶意软件。它不提供恶意代码样本，也不提供绕过安全机制的方法。部分代码为概念性示例，实际举报需通过平台官方途径完成。技能未提供收费、价格、具体平台兼容列表或完整安装步骤等信息，相关资料暂未提供。使用时应始终从合法来源获取软件，优先使用官方包管理器，校验官方校验和，保持系统与杀毒软件更新，并使用环境变量管理合法安全工具的密钥。