用途：该技能是 ctf-sandbox-orchestrator 的下游专用技能，仅在后者已激活并已确定沙箱假设、节点归属与证据优先级后使用；否则应先回到 ctf-sandbox-orchestrator。适用于关键价值不只是“样本做什么”，而是样本隐藏了哪些配置字段、阶段或网络参数，以及它们何时变为明文的场景。默认用简体中文回复，除非用户明确要求英文。
主要能力：定位配置边界，检查节区、资源、内嵌归档、字符串、导入与解码辅助函数，判断配置存放位置（资源、覆盖层、加密块、注册表种子、网络引导或 stage2 内存），并记录每个值何时变为明文；按容器→压缩→编码→xor/替换→加密→解析的顺序重建解码链，将同一链路的配置字段归组，保留哈希、偏移、密钥、IV、掩码与解析字段；将配置与行为关联，说明字段影响哪个分支（beacon 路径、互斥体、钱包、bot id、活动、任务路由、持久化名称或进程目标），并与 PCAP、进程树或 stage2 字符串关联。
使用方式：先保留原始样本再解包或打补丁；分离加载器、载荷、配置块与解码后行为；按熵、字段形状、邻近字符串与解码辅助函数对候选配置块排序；记录每个恢复字段的精确变换链；用最小路径复现解码后的配置或 beacon 参数。可加载 references/malware-config.md 获取配置搜寻清单、分阶段样本清单与证据打包规则。
需保留内容：原始工件、解包层、转储阶段与解析配置作为独立工件；偏移、哈希、解码辅助函数、密钥、掩码与字段名；每个恢复字段实际影响的分支或协议步骤。
限制：资料未提供具体命令、工具名称、平台支持范围、收费方式或效果保证，相关细节暂未提供。