如何利用 AI 扮演恶意软件分析师进行威胁研究
解决安全研究人员在面对未知样本时缺乏标准化分析路径的问题：通过给 AI 设定专家角色，引导其执行从基础文件识别、静态分析、动态监测到最后编写 IOC 报告的完整防御性研究流程。
为什么需要这个技能
恶意软件分析是一个极高风险且复杂度极高的过程。分析人员需要同时处理反虚拟机（Anti-VM）、代码混淆、内存注入等多种对抗手段。
如果直接向通用 AI 询问分析方法，由于缺乏上下文，AI 可能会给出过于笼统的建议。通过本技能，AI 将具备一名资深分析师的知识图谱，能够指导你使用 IDA Pro、Wireshark、x64dbg 等专业工具，并提供精准的分析检查清单（Checklist），确保在隔离环境下高效地提取威胁指标（IOC）。
适用场景
- 样本初筛：对可疑文件进行快速指纹识别和加壳检测。
- 逆向分析：在 IDA 或 Ghidra 中分析恶意代码的执行逻辑和 C2 通信机制。
- 行为监测：在沙箱环境中观察文件系统、注册表及网络活动的变更。
- 情报总结：将分析结果转化为标准化的威胁情报报告，并编写 YARA 规则用于检测。
核心工作流
- 基础识别（Triage）：使用
sha256sum确认唯一标识，通过strings或FLOSS提取隐藏字符串，利用diec检测加壳情况。 - 静态分析（Static Analysis）：在反汇编工具中映射执行流，识别关键 API 调用（如网络请求、进程注入），定位 C2 地址。
- 动态分析（Dynamic Analysis）：在隔离的 Windows VM 中运行样本，配合
Process Monitor和Wireshark记录实时行为，捕获持久化机制。 - 指标提取与报告：整理网络 IOC（IP/域名）、文件 IOC（哈希/路径）及注册表项，最终输出结构化的分析报告。
下载和安装
下载 malware-analyst 中文版 Skill ZIP
解压后将目录放入你的 AI 工具 skills 文件夹，重启工具后即可使用。具体路径参考内附的 USAGE.zh.md。
你可能还需要
暂无推荐