Malware Forensics 是一个面向恶意软件样本取证分析的技能，用于分析恶意软件样本、判断其能力、提取失陷指标（IOC），并支持事件响应与威胁情报工作。
用途 该技能用于恶意软件感染的调查取证，包括静态与动态分析、IOC 提取、归因研究以及恶意软件能力文档化。
主要能力
- 静态分析：在不执行样本的情况下分析（字符串、头部、导入表）。
- PE 分析：解析 Windows 可执行文件、DLL 和驱动。
- 文档分析：分析恶意 Office 文档和 PDF。
- 脚本分析：分析恶意脚本（PowerShell、VBA、JavaScript）。
- IOC 提取：提取 IP、域名、URL、哈希等指标。
- YARA 扫描：使用 YARA 规则扫描样本进行识别。
- 字符串分析：提取并分类样本中的字符串。
- 行为分析：记录观察到的恶意软件行为。
- 脱壳支持：识别并记录加壳样本。
- 归因分析：将样本关联到威胁行为者或攻击活动。
使用方式 该技能以 Python 模块形式提供，可导入 MalwareAnalyzer、PEAnalyzer、IOCExtractor、StringAnalyzer、DocumentAnalyzer、ScriptAnalyzer、YARAScanner、BehaviorAnalyzer、SampleComparator 等类进行调用。
快速开始示例： from malware_forensics import MalwareAnalyzer, PEAnalyzer, IOCExtractor
Analyze sample
analyzer = MalwareAnalyzer("/samples/malware.exe") report = analyzer.analyze()
Extract IOCs
extractor = IOCExtractor("/samples/malware.exe") iocs = extractor.extract_all()
Scan with YARA
matches = analyzer.yara_scan("/rules/malware.yar")
典型任务
- PE 文件分析：解析 PE 头部、分析导入/导出、检查异常、提取资源、计算哈希，输出 PE 分析报告。
- 字符串分析：提取 ASCII/Unicode 字符串、按类型分类、识别可疑字符串、提取编码字符串并记录发现。
- 文档分析：解析文档结构、提取宏/脚本、分析嵌入对象、检测漏洞利用、提取载荷。
- 脚本分析：识别脚本类型、反混淆代码、分析行为、提取 IOC、记录能力。
- IOC 提取：提取网络、文件、注册表 IOC，去重与验证，并导出为多种格式（CSV、JSON、STIX、MISP）。
- YARA 扫描：编译 YARA 规则、扫描样本、收集匹配、记录发现并生成报告。
- 行为分析：记录文件操作、跟踪注册表变更、监控网络活动、识别持久化，并映射到 MITRE ATT&CK。
- 样本比较：计算相似度哈希、比较代码段、识别共享 IOC、发现共同模式、聚类相关样本。
适用场景 适用于恶意软件感染调查、恶意软件能力判定、IOC 提取、事件响应与威胁情报分析等场景。
限制 资料中未提供关于收费、价格、平台支持范围、具体效果或性能的说明，这些信息暂未提供。