恶意软件分析报告撰写

📌 Skill基础信息

Skill名称：writing-a-malware-analysis-report

简称：恶意软件分析报告撰写

来源：社区第三方（meltedinhex/analyst-ai-pack）

运行宿主：Claude-Code CLI

核心定位：为已完成恶意软件分析的安全分析师提供结构化报告生成能力，覆盖样本识别、能力分析、IOC提取和ATT&CK映射，适合恶意软件逆向工程后的文档化阶段。

🧩 内部核心组成

子Agent集合

• 报告骨架生成Agent
• 完整性校验Agent

斜杠命令

命令名	功能简述
scaffold	基于样本哈希和名称生成报告骨架模板
check	校验生成报告的完整性和合规性

MCP工具

【无公开信息】

模板文件

• 标准恶意软件分析报告模板（Markdown格式）
• IOC结构化表示模板（支持CSV/STIX/MISP格式）

Hooks钩子

【无公开信息】

规则约束

• 要求所有能力声明必须提供具体证据（偏移量、注册表键、数据包等）
• IOC必须同时提供人工可读（defanged）和机器可读格式
• ATT&CK技术映射必须基于实际观察到的行为

目录结构

analyst-ai-pack/
├── skills/
│   └── writing-a-malware-analysis-report/
│       ├── SKILL.md
│       └── references/
│           └── api-reference.md
└── scripts/
    └── analyst.py

🛠 安装与启用方式

安装命令：

skills install --user meltedinhex/analyst-ai-pack

前置依赖：

• Python运行环境
• 已完成恶意软件分析并具备分析产出物（样本哈希、行为记录、IOC等）

启动入口：

python scripts/analyst.py scaffold --sha256 <样本哈希> --name "样本名称"

📋 标准工作流

1. 用户输入：提供恶意软件样本哈希和名称
2. 报告生成：执行scaffold命令生成结构化报告骨架
3. 内容填充：基于已完成的分析结果填充各部分内容：

- 执行摘要（面向非技术人员）

- 样本身份信息表格

- 按能力分组的技术分析（持久化、C2、防御规避等）

- 可操作的IOC数据（主机和网络分离）

- 检测和响应指导

1. 完整性校验：使用check命令验证报告完整性
2. 输出交付：生成最终可分发的Markdown格式报告

⚠️ 关键限制、缺陷、注意事项

平台限制：仅支持Claude-Code CLI环境运行

Token消耗：中等，主要消耗在结构化报告生成和校验过程

适用项目：

• 恶意软件逆向工程后的文档化阶段
• 需要标准化报告格式的安全团队
• 面向不同受众（技术/决策层）的报告输出

不适用项目：

• 实时恶意软件分析过程
• 无分析基础的空报告生成
• 自动化恶意软件检测系统

已知坑点：

• 不能替代实际分析工作，仅用于文档化已有成果
• 避免直接dump工具输出而无分析结论
• attribution声明需谨慎，需明确置信度和证据基础
• IOC格式需严格区分人工可读和机器可读版本

生产环境：可用于生产环境，但需配合完整的安全分析流程

✅ 适用场景 & ❌ 不适合场景

✅ 适用场景：

• 安全分析师完成恶意软件分析后的报告撰写
• 需要标准化报告格式的网络安全团队
• 面向管理层和技术团队的双重报告需求
• 遵循ATT&CK框架和IOC标准的安全运营

❌ 不适合场景：

• 恶意软件分析的实时检测和响应
• 无分析基础的空报告生成需求
• 完全自动化的恶意软件分类系统
• 非结构化或自由格式的报告需求

skills install --user meltedinhex/analyst-ai-pack