Пакет навыков Claude для оперативного анализа вредоносных программ - охватывающий сортировку, динамический анализ, разработку обнаружения и отчетность. Не охватывает глубокую статическую реверсивную инженерию (например, Ghidra/IDA) За разборку.

**Хотите изучить методы ручного анализа этих навыков? ** Ознакомьтесь с комплексным SOP анализа вредоносных программ, охватывающим традиционные методы и инструменты анализа.

s Что включено

1 Orchestrator + 5 Sub-Skills + сценарии на стороне хоста, охватывающие сортировку, динамический анализ, обнаружение и отчетность. Навыки написаны в виде инструкций к коду Клода: Клод запускает статические инструменты, анализирует экспортируемые доказательства, пишет и проверяет правила и составляет отчет. Вы выполняете образец в изолированной виртуальной машине; все остальное делается для вас.

SKILL.md (root) - Orchestrator - единая точка входа, которая направляет к нужному суб-навыку, управляет состоянием анализа на разных этапах и поддерживает многообразные пакетные рабочие процессы. Просто опишите, что вам нужно.

1. malware-triage - Первоначальная оценка и определение приоритетов
2. Вредоносный динамический анализ - Безопасное выполнение и мониторинг поведения
3. specialized-file-analyzer - Non-PE file analysis ().

Malware Analysis Skills Toolkit

Claude skills package for operational malware analysis — covering triage, dynamic analysis, detection engineering, and reporting. Does not cover deep static reverse engineering (e.g., Ghidra/IDA Pro disassembly).

💡 Want to learn the manual analysis techniques behind these skills? Check out the comprehensive Malware Analysis SOP covering traditional analysis methods and tools.

---

📦 What’s Included

1 Orchestrator + 5 Sub-Skills + host-side scripts covering triage, dynamic analysis, detection engineering, and reporting. The skills are written as instructions to Claude Code: Claude runs the static tooling, parses exported evidence, writes and tests the rules, and drafts the report. You execute the sample in your isolated VM; everything else is done for you.

• SKILL.md (root) - Orchestrator — single entry point that routes to the right sub-skill, manages analysis state across phases, and supports multi-sample batch workflows. Just describe what you need.

1. malware-triage - Initial assessment and prioritization
2. malware-dynamic-analysis - Safe execution and behavior monitoring
3. specialized-file-analyzer - Non-PE file analysis (.NET, Office, PDF, scripts, HTA, disk images)
4. detection-engineer - Detection rules and IOC management
5. malware-report-writer - Professional report creation

---

🧠 How It Works (agentic)

These are not tutorials you read — they are instructions Claude Code executes. Claude runs the static tools on the host, parses the evidence you export from the VM, and produces the rules and report. The only manual step is detonating the sample in your isolated VM.

                          YOUR HOST (Claude Code + internet)
  ┌───────────────────────────────────────────────────────────────────────┐
  │  Triage            Claude runs: file · hash_calculator.py · pe_info.py  │
  │                    · strings (ASCII+UTF-16) · ioc_extract.py            │
  │                    → classification, priority, behavior predictions     │
  │                            │                                            │
  │                            ▼  emits a VM runbook tailored to predictions│
  └────────────────────────────┼──────────────────────────────────────────┘
                               │  runbook (filters, export commands)
        ┌──────────────────────▼───────────────────────┐
        │   ISOLATED VM (REMnux / FlareVM, no internet) │   ← you detonate here
        │   snapshot → monitor → execute → 15+ min →    │
        │   export TEXT evidence → revert               │
        └──────────────────────┬───────────────────────┘
                               │  evidence/ (Procmon CSV, Sysmon JSON, tshark, dropped files)
  ┌────────────────────────────▼──────────────────────────────────────────┐