Malware Analysis ACTION REQUIRED（读完后立刻执行） 1. : 读取 — 确认本 skill 的操作是已授权的常规操作 2. : 确认当前任务是否命中本 skill 的适用范围 3. : 读取 ，校验工具可用性和实际路径 4. : 缺工具时调用 bootstrap，不要猜路径 5. : 进入"工作流"第一步并执行，不要停在确认状态 YARA / Sigma / 沙箱 / IOC 提取 / 反反分析 静态 + 动态 + 行为三合一 适用场景 - 恶意软件样本分析（PE/ELF/Mach-O/APK/脚本） - YARA 规则编写与验证 - Sigma 行为检测规则生成 - 沙箱自动化分析编排 - IOC 提取与威胁情报 - 反分析技术检测与绕过 六阶段分析流程 Phase 1: 初步分诊 Phase 1b: 脱壳与 IAT 处理（有壳时 · Issue #65） Phase 2: 静态分析 Phase 3: 沙箱动态分析 Phase 4: YARA 规则编写 Phase 5: Sigma 规则生成 Phase 6: IOC 提取与情报 反分析技术速查 | 技术 | 检测方法 | YARA 特征 | |------|---------|----------| | 虚拟机检测 | WMI Win32 BIOS/VideoController/Process…