用途：对可疑文件、附件、脚本或释放的二进制进行安全分析，判定其能力、持久化机制与命令控制，并产出用于狩猎和拦截的指标。首要前提是隔离：使用一次性虚拟机或专用物理机，执行前做快照；网络置于隔离段并默认使用INetSim/FakeNet-NG模拟服务；禁用共享目录、剪贴板和主机磁盘挂载；不使用真实账号与域成员身份；样本存放于带密码的压缩包并改扩展名（.bin、.mal）。真实联网需显式决策并评估归因泄露风险，活跃事件中未经负责人批准不得解析C2域名、公开提交哈希或上传多引擎扫描。
主要能力：静态研判先做身份识别与结构分析，如sha256sum、file、ssdeep、tlsh、pefile的imphash，以及pecheck、capa、floss、binwalk熵与提取；文档与脚本样本用oleid、olevba、oledump.py、msodde、rtfobj、pdfid与pdf-parser，混淆脚本可先规范化再阅读。动态分析按快照、投放、观察、回滚流程，用Sysmon、Procmon、tcpdump、Wireshark、mitmproxy及Volatility收集进程树、文件与注册表写入、网络与内存证据，注意休眠与沙箱规避门槛。配置提取可调用社区提取器（如python3 -m maco.extract sample），内容常含C2与备用地址、campaign/botnet ID、密钥、互斥体、休眠与抖动、安装路径和kill date。产出按存活期分层：哈希、C2、互斥体与配置、行为TTP，并编写与验证YARA规则（yara -w分别对已知恶意样本和正常软件语料测试）。
适用场景：样本分诊、能力与C2确认、狩猎与拦截指标产出、事件响应中的样本情报支持。限制：不用于编写恶意代码、良性二进制纯逆向、原始shellcode、网络流量与整站webshell狩猎、家族规则编写及更广事件处置；这些分别属于其他技能。资料未提供收费、平台与具体效果信息。