用途：该技能用于防御性恶意软件研究、威胁情报与事件响应，帮助分析样本、理解行为并产出可用的检测与处置信息。
主要能力：文件识别（file、sha256sum）、字符串提取（strings -a、FLOSS）、加壳检测（diec、exeinfope）、导入分析（rabin2 -i、dumpbin /imports）；静态分析（IDA Pro、Ghidra、Binary Ninja）；动态分析环境搭建与监控（Process Monitor、Wireshark、Regshot、API Monitor、x64dbg、INetSim/FakeNet）；沙箱平台（Cuckoo、ANY.RUN、Hybrid Analysis、Joe Sandbox、CAPE）；脱壳工具（Unipacker、Scylla、OllyDumpEx、PE-sieve、UPX）；IOC 提取（网络、文件系统、注册表、进程）与 YARA 规则编写；按执行摘要、样本信息、静态/动态分析、IOC、建议的结构化报告。
使用方式：先明确目标、约束与输入，按识别、静态、动态、提取、报告的顺序推进，并验证结果；需要详细示例时查阅 resources/implementation-playbook.md。
适用场景：事件响应与取证、威胁情报研究、安全产品开发、学术研究、CTF。
限制：仅限防御与授权用途，不得用于创建或分发恶意软件、未授权攻击、恶意规避安全产品、构建僵尸网络或 C2；输出不能替代环境特定验证与专家评审；缺少输入、权限、安全边界或成功标准时应先澄清。具体收费、平台支持与效果暂未提供。