该技能名为 Suspicious PowerShell hunt（cross-platform ideas），来源为 tsale/awesome-dfir-skills，主要用途是围绕 PowerShell 滥用生成结构化的狩猎计划。
用途与定位：当怀疑存在通过 PowerShell 进行的下载或执行行为，或正在响应诸如 EncodedCommand、IEX、FromBase64String 之类的告警时，可使用该技能。它面向检测工程师（detection engineer）与威胁狩猎人员（threat hunter），目标是产出假设驱动的调查思路，并强调在不同工具栈之间仍然通用的信号。
主要能力：该技能根据使用者提供的遥测栈（{{telemetry_stack}}）与时间窗口（{{time_window}}），构建针对特定环境和时间范围的 PowerShell 滥用狩猎计划。交付物包括：该环境中 PowerShell 滥用的 3 至 7 条顶级假设；每条假设对应应查询的内容、预期真阳性、常见误报以及下一步转向方向；以及查询片段，既包含通用字符串/正则表达式，也尽可能提供针对所命名栈的一个版本。技能包含约束条件：优先使用常见字段，如进程名、父进程、命令行、父命令行、用户、主机、网络目标；若提出平台特定查询，需解释字段映射关系。
常见可疑模式（通用）：-enc / -encodedcommand；IEX / Invoke-Expression；FromBase64String；DownloadString / DownloadFile；隐藏窗口 -w hidden；-ExecutionPolicy Bypass；以及 LOLBIN 父进程，包括 winword.exe、excel.exe、outlook.exe、mshta.exe、rundll32.exe、wscript.exe、cscript.exe。
转向（Pivots）方向：围绕可疑 PowerShell 的进程树；PowerShell 从互联网下载内容；来自该 PID 的网络连接（目标、SNI、URL 路径）；执行后不久的文件写入；持久化痕迹（计划任务、服务、Run 键）。
使用方式：技能说明中定义了角色（检测工程师/威胁狩猎人员）、任务（为给定环境和时间窗口构建 PowerShell 滥用狩猎计划），并使用 {{telemetry_stack}} 与 {{time_window}} 作为占位参数。使用者需填入实际的遥测栈和时间窗口后获得狩猎计划与查询片段。
安全与隐私注意事项：除非获得许可，不要粘贴生产环境中的完整脚本块；建议优先对脚本块进行哈希或共享关键子串，以降低敏感信息泄露风险。
限制与暂未提供的信息：该技能的具体平台支持范围、是否收费、价格、实际检测效果、具体实现步骤等资料中暂未提供。