菜单
响应企业端点的恶意软件感染，识别恶意软件家族、确定感染向量、评估传播范围，并执行根除程序。涵盖从检测到遏制、分析、清除和恢复的完整生命周期。适用于恶意软件响应、恶意软件根除、木马清除、蠕虫遏制、恶意软件分类或受感染端点修复相关请求。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill conducting-malware-incident-response命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
基于 SOC 职业分类
正在显示 SKILL.md
| name | conducting-malware-incident-response |
| description | 响应企业端点的恶意软件感染，识别恶意软件家族、确定感染向量、评估传播范围，并执行根除程序。涵盖从检测到遏制、分析、清除和恢复的完整生命周期。适用于恶意软件响应、恶意软件根除、木马清除、蠕虫遏制、恶意软件分类或受感染端点修复相关请求。 |
| domain | cybersecurity |
| subdomain | incident-response |
| tags | ["malware-response","malware-analysis","eradication","endpoint-remediation","MITRE-ATT&CK"] |
| version | 1.0.0 |
| author | mahipal |
| license | Apache-2.0 |
不适用于研究场景中的恶意软件样本分析；逆向工程请使用专用恶意软件分析流程。
验证恶意软件告警并收集初始指标：
检测摘要：
文件： C:\Users\jsmith\AppData\Local\Temp\update.exe
SHA-256： a1b2c3d4e5f6...
检测： CrowdStrike: Malware/Qakbot | VirusTotal: 58/72 引擎
父进程： WINWORD.EXE → cmd.exe → powershell.exe → update.exe
投递方式： 邮件附件（Invoice-Nov2025.docm）
网络： 每 60 秒向 185.220.101[.]42:443 发起 HTTPS POST 请求
持久化： 计划任务 "WindowsUpdate" → update.exe
确定受影响系统数量及恶意软件的传播方式：
按照活跃攻陷遏制流程执行遏制措施：
执行足够的分析以支持完整根除：
恶意软件分析摘要 - Qakbot 变体
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
初始访问： T1566.001 - 鱼叉式网络钓鱼附件（.docm）
执行： T1059.001 - PowerShell（编码的下载器）
持久化： T1053.005 - 计划任务
防御规避： T1055.012 - 进程空洞化（explorer.exe）
C2： T1071.001 - 带自定义头部的 HTTPS
收集： T1005 - 本地系统数据（浏览器凭据）
外泄： T1041 - 通过 C2 通道外泄
产物：
- C:\Users\*\AppData\Local\Temp\update.exe（投放器）
- C:\ProgramData\Microsoft\{GUID}\config.dll（载荷）
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run\{random}（备份持久化）
- 计划任务：「WindowsUpdate」（主要持久化）
从每个受感染系统中删除所有恶意软件产物：
将系统恢复到生产状态并验证干净状态：
| 术语 | 定义 |
|---|---|
| 恶意软件家族（Malware Family） | 共享代码、基础设施或行为模式的恶意软件变体分类（如 Qakbot、Emotet、Cobalt Strike） |
| 进程空洞化（Process Hollowing） | 恶意软件以挂起状态创建合法进程、将其内存替换为恶意代码然后继续执行的技术 |
| 信标（Beacon） | 恶意软件向其 C2 服务器发送的周期性网络通信，通常具有固定间隔和抖动以规避检测 |
| 投放器（Dropper） | 下载或解包主要载荷的初始恶意软件组件；通常通过网络钓鱼投递 |
| 持久化机制（Persistence Mechanism） | 恶意软件用于在系统重启后存活的方法（注册表运行键、计划任务、服务、WMI 事件订阅） |
| IOC（失陷指标，Indicator of Compromise） | 表明恶意软件存在的可观测产物，如文件哈希、IP 地址、域名或注册表键 |
背景：EDR 检测到一个启用宏的文档生成 PowerShell，下载 Emotet DLL，随后加载 Cobalt Strike 信标。45 分钟内三台主机受到感染。
处理方法：
常见陷阱：
恶意软件事件响应报告
=================================
事件： INC-2025-1547
恶意软件家族：Qakbot（变体：Obama265）
投递向量： 鱼叉式网络钓鱼附件（Invoice-Nov2025.docm）
首次检测： 2025-11-15T14:23:17Z
范围： 4 个端点确认受感染
感染时间线
14:18 UTC - 钓鱼邮件被 jsmith@corp.example.com 接收
14:19 UTC - 宏在 WINWORD.EXE 中执行
14:20 UTC - PowerShell 从暂存服务器下载 update.exe
14:21 UTC - update.exe 建立持久化（计划任务）
14:23 UTC - C2 信标向 185.220.101[.]42 发起连接
14:35 UTC - 通过窃取的凭据横向传播到 WKSTN-087
14:42 UTC - EDR 检测触发，SOC 收到告警
提取的 IOC
文件哈希： [SHA-256 列表]
C2 域名： [域名列表]
C2 IP： [IP 列表]
文件路径： [产物路径]
根除状态
[x] 所有恶意软件产物已从 4 台主机清除
[x] 持久化机制已删除
[x] C2 基础设施已阻断
[x] 受攻陷凭据已重置
[x] 邮件已从所有邮箱隔离
建议
1. 部署 Qakbot 变体检测的 YARA 规则
2. 阻断来自外部发件人文档中的宏执行
3. 在财务工作站实施应用程序白名单