用途
本技能提供一套恶意软件分析方法论，适用于以下场景：分析可疑二进制文件（PE/ELF/Mach-O）、分析内存 dump 中的恶意代码、分析已知恶意软件家族样本。其红队价值在于：理解样本如何被分析，从而知道哪些特征会暴露，进而改进免杀和 OPSEC。
主要能力
覆盖从样本处理到红队反思的完整流程：
- Phase 0 样本处理与安全准备：计算哈希（sha256sum、md5sum）、基础识别（file、strings）、检查是否加壳（upx -t、die），并根据样本类型分流到 PE/ELF/Mach-O/Shellcode/脚本分析路径。
- Phase 1A PE 静态分析：使用 pefile 提取编译时间、节区、熵值、导入表，并给出关键 Import API 与功能推断的映射（如 VirtualAlloc + WriteProcessMemory 对应进程注入、CreateRemoteThread 对应远程线程注入、WinHttpOpen/InternetOpenA 对应网络通信/C2、CryptEncrypt/BCryptEncrypt 对应加密、RegSetValueEx + RunKey 对应持久化、NtQueryInformationProcess/IsDebuggerPresent 对应反调试、GetTickCount/QueryPerformanceCounter 对应沙箱检测）。
- Phase 1B ELF 静态分析：使用 readelf 查看 ELF 头、节表、动态链接，nm 查看符号表，并用 pyelftools 计算节区熵值以识别加密/压缩。
- Phase 2 动态分析决策：根据环境选择沙箱投递（AnyRun/Cuckoo/CAPE）、本地 VM（strace/procmon + 网络抓包）或纯静态分析（Ghidra/IDA）。Windows 动态分析使用 Procmon、Wireshark/fakenet、API Monitor；Linux 动态分析使用 strace、ltrace、ss。
- Phase 3 IOC 提取清单：要求提取文件哈希（MD5 + SHA256）、网络指标（IP/域名/URL/URI 路径）、文件系统指标、注册表指标、进程指标、持久化机制，并映射 MITRE ATT&CK TTP。
- Phase 4 红队反思（OPSEC 审查）：从静态特征、行为特征、网络特征、内存特征四个维度反思样本暴露的特征，用于改进自身工具的免杀设计。
使用方式
技能以分阶段流程组织，每阶段给出具体命令与脚本示例。样本处理阶段强调 NEVER 在非隔离环境执行样本。静态分析阶段提供可直接运行的 Python 脚本（基于 pefile、pyelftools）。动态分析阶段给出决策树与各平台工具命令。IOC 提取阶段提供清单式检查项。最后提供工具速查表，涵盖 PE 分析（pefile、pestudio、CFF Explorer）、ELF 分析（readelf、pyelftools、radare2）、反编译（Ghidra、IDA Pro、Binary Ninja）、字符串提取（FLOSS、strings）、沙箱（AnyRun、CAPE、Cuckoo）、网络（Wireshark、FakeNet-NG）、YARA（yara-python、yarGen）。
适用场景
- 安全分析人员对可疑样本进行静态与动态分析。
- 红队人员理解检测面以改进免杀与 OPSEC。
- 需要从样本中提取 IOC 并映射 MITRE ATT&CK TTP 的场景。
限制
资料未提供该技能的安装方式、依赖版本、平台兼容性、收费模式或效果保证等信息，暂未提供。部分工具（如 IDA Pro、Binary Ninja、AnyRun）的具体使用细节未在资料中展开。