gl0bal01/malware-analysis-claude-skills

Malware-Analyse-Orchestrator

Zentraler Einstiegspunkt für Malware-Analyse-Aufträge. Leitet an spezialisierte Sub-Fähigkeiten weiter, führt Ergebnisse zwischen den Phasen weiter und verwaltet Multi-Sample-Workflows.

Funktionsweise

Sie beschreiben, was Sie brauchen – „Analysiere diese Probe“, „Ich habe 5 Dateien zur Sichtung“, „Erstelle Erkennungsregeln aus meinen Ergebnissen“ – und dieser Orchestrator:

1. Bestimmt anhand Ihres Dateityps und Ihrer Absicht, welche Sub-Fähigkeit verwendet wird
2. Führt Sie mit dieser Sub-Fähigkeit durch die Analyse
3. Zeichnet die Ergebnisse in einer Zustandsdatei auf (analysis_state.md)
4. Empfiehlt die nächste Phase, sobald die aktuelle abgeschlossen ist
5. Wartet auf Ihre Bestätigung, bevor es fortfährt

Sie müssen Sub-Fähigkeiten nie direkt aufrufen.

Routing-Logik

Signal	Leitet weiter an
Unbekannte Datei / „Was ist das?“ / Ersteinschätzung	malware-triage
PE ausführbar nach Triage, benötigt Verhaltensüberwachung	malware-dynamic-analysis
.NET / Office / PDF / Skript / Archiv / LNK / ELF / HTA / ISO / IMG / VHD / VHDX	specialized-file-analyzer
„Erstelle Erkennungsregeln“ / Post-Analyse-Phase	detection-engineer
„Schreibe den Bericht“ / letzte Dokumentationsphase	malware-report-writer
YARA-Regeln speziell	malware-report-writer (nicht detection-engineer)

Die Triage ist immer der Einstiegspunkt für neue Proben. Die obige Tabelle beschreibt, welche Analyse-Fähigkeit der Triage folgt.

Dateityp-Prioritätsreihenfolge

Beim Routing nach Dateityp verwenden Sie die Ausgabe des file-Befehls. Prüfen Sie in dieser Reihenfolge – der erste Treffer gewinnt:

1. „Mono/.Net assembly“ → lesen und folgen Sie specialized-file-analyzer/SKILL.md
2. „Microsoft Office Document“ → lesen und folgen Sie specialized-file-analyzer/SKILL.md
3. „PDF document“ → lesen und folgen Sie specialized-file-analyzer/SKILL.md
4. „ELF“ → lesen und folgen Sie specialized-file-analyzer/SKILL.md
5. „PE32“ / „PE64“ (nur wenn .NET NICHT gefunden wurde) → lesen und folgen Sie malware-triage/SKILL.md, dann malware-dynamic-analysis/SKILL.md
6. „MS Windows shortcut“ (LNK) → lesen und folgen Sie specialized-file-analyzer/SKILL.md
7. ASCII-Text / Skript-Inhalt → lesen und folgen Sie specialized-file-analyzer/SKILL.md
8. Archivformate (Zip, RAR, 7z) → lesen und folgen Sie specialized-file-analyzer/SKILL.md
9. HTML-Anwendung (.hta) → lesen und folgen Sie specialized-file-analyzer/SKILL.md
10. ISO/IMG-Disk-Images → lesen und folgen Sie specialized-file-analyzer/SKILL.md (mounten/extrahieren, dann Inhalt analysieren)
11. VHD/VHDX virtuelle Festplatten → lesen und folgen Sie specialized-file-analyzer/SKILL.md (mounten/extrahieren, dann Inhalt analysieren)
12. „data“ / Null-Byte / nicht erkannt → lesen und folgen Sie malware-triage/SKILL.md für manuelle Bewertung

.NET ist die wichtigste Uneindeutigkeit: file gibt sowohl „PE32“ als auch „Mono/.Net assembly“ für .NET-Assemblys aus. Prüfen Sie immer zuerst auf .NET, bevor Sie auf PE prüfen.

Phasenablauf

Jede Probe durchläuft diesen Ablauf:

Triage → [Dynamische Analyse ODER Spezialisierte Dateianalyse] → Erkennungsentwicklung → Berichtserstellung

• Triage ist immer zuerst – lesen und folgen Sie malware-triage/SKILL.md
• Dynamische Analyse für PE ausführbare Dateien – lesen und folgen Sie malware-dynamic-analysis/SKILL.md
• Spezialisierte Dateianalyse für Nicht-PE-Dateien (.NET, Office, PDF, Skripte, Archive, LNK, ELF) – lesen und folgen Sie specialized-file-analyzer/SKILL.md
• Erkennungsentwicklung fasst IOCs in Sigma-/Suricata-Regeln zusammen – lesen und folgen Sie detection-engineer/SKILL.md
• Berichtserstellung ist immer zuletzt – lesen und folgen Sie malware-report-writer/SKILL.md

Phasenübergänge (Vorschlags-Modus)

Nach Abschluss jeder Phase:

1. Fassen Sie zusammen, was in der aktuellen Phase gefunden wurde
2. Aktualisieren Sie analysis_state.md mit Ergebnissen und IOCs
3. Empfehlen Sie die nächste Fähigkeit mit Begründung basierend auf den Ergebnissen
4. Warten Sie auf die Bestätigung des Benutzers, bevor Sie fortfahren

Führen Sie Phasen niemals automatisch aneinander. Jeder Übergang erfordert eine Benutzerbestätigung.

VM-Isolationsgrenze

Erinnern Sie den Benutzer vor der dynamischen Analyse explizit:

„Die nächste Phase erfordert die Ausführung der Probe in Ihrer isolierten VM (REMnux/FlareVM). Bitte:

1. Führen Sie die Probe mit laufenden Überwachungstools aus (Procmon, Wireshark, System Informer (ehemals Process Hacker), Sysmon)
2. Beobachten Sie mindestens 15 Minuten
3. Exportieren Sie Beweise in textverarbeitbaren Formaten (CSV, JSON, TXT – nicht PML, PCAP, EVTX)
4. Kehren Sie mit den exportierten Beweisdateien hierher zurück

Ich analysiere die Beweise, wenn Sie zurück sind."

Zustandsdatei: analysis_state.md

Wird im Arbeitsverzeichnis des Benutzers (nicht in diesem Skill-Repository) erstellt, wenn die erste Probe bereitgestellt wird. Aktualisiert nach jeder Phase.

Struktur

# Malware-Analyse – [Engagement-Name/Datum]

**Analyst:** [Name]
**Gestartet:** [Datum]
**Status:** [In Arbeit / Abgeschlossen]

---

## Proben

### Probe 1: [Dateiname]
- **Dateityp:** [Typ]
- **MD5:** [Hash]
- **SHA1:** [Hash]
- **SHA256:** [Hash]
- **Größe:** [Bytes]
- **Priorität:** [Sofort / Standard / Niedrig]
- **Klassifizierung:** [Trojaner / Ransomware / etc. oder Ausstehend]
- **Bedrohungsstufe:** [Kritisch / Hoch / Mittel / Niedrig oder Ausstehend]
- **Aktuelle Phase:** [Triage / Dynamische Analyse / Spezialisierte Analyse / Erkennung / Bericht / Abgeschlossen / Gutartig]

#### Triage-Ergebnisse
- [Ergebnisse angehängt nach Triage-Phase]

#### Analyse-Ergebnisse
- [Ergebnisse angehängt nach dynamischer/spezialisierter Analyse]

#### Identifizierte IOCs
- [gesammelte IOCs, defanged]

#### Erstellte Erkennungsregeln
- [Liste der erstellten Regeln und deren Speicherorte]

---

## Nächste Schritte
- [Empfehlung des Orchestrators, was als Nächstes zu tun ist und warum]

Regeln für die Zustandsdatei

• Erstellen, wenn der Benutzer ein Engagement beginnt (erste Probe bereitgestellt)
• Ergebnisse anhängen nach jeder Phase – niemals vorherige Ergebnisse überschreiben
• Abschnitt „Nächste Schritte“ bei jedem Übergang ersetzen (nicht anhängen)
• Wiederaufnahme aus der Zustandsdatei, wenn der Benutzer in einer neuen Konversation zurückkehrt – lesen Sie analysis_state.md, um den Kontext wiederherzustellen
• Alle IOCs müssen defanged werden zum Zeitpunkt der Aufzeichnung in der Zustandsdatei, unabhängig davon, welche Phase sie erzeugt

Multi-Sample-Batch-Workflow

1. Erfassung: Fragen Sie nach allen bekannten Proben im Voraus – „Wie viele Proben haben Sie? Lassen Sie uns alle auflisten, bevor wir beginnen.“
2. Batch-Triage: Schnelle Triage aller Proben (5–10 Min. pro Stück – Hashes, Dateityp, Reputationsprüfung, Klassifizierung gemäß der „Quick Triage“-Stufe der Triage-Fähigkeit)
3. Prioritätsreihung: Reihung der Proben in Sofort / Standard / Niedrig basierend auf Triage-Ergebnissen
4. Sukzessive Tiefenanalyse: Führen Sie den Benutzer nacheinander durch die Tiefenanalyse hochprioritärer Proben, jeweils dem vollständigen Phasenablauf folgend
5. Zustandsverfolgung: Aktualisieren Sie die Zustandsdatei pro Probe, damit der Benutzer sehen kann, welche Proben triagiert, analysiert und berichtet wurden

Durchgesetzte Konventionen

• Alle IOCs in Zustandsdateien und Berichten müssen defanged sein (hxxp://, [.]com, [@])
• Berichte enthalten immer alle drei Hash-Typen: MD5, SHA1, SHA256
• Beweise müssen in textverarbeitbaren Formaten vorliegen (CSV, JSON, TXT)
• Erkennungsregeln (YARA, Sigma, Suricata) müssen vor Aufnahme getestet werden
• MITRE ATT&CK-Technik-IDs müssen in Sigma-Regeln markiert sein
• Sigma-Regeln benötigen eindeutige UUIDs
• Benutzerdefinierte Suricata-Regeln verwenden SIDs ab 1000000+

IOC-Defanging-Zuständigkeit

Jede Phase defanged IOCs, bevor sie in die Zustandsdatei aufgenommen werden. Die Sub-Fähigkeit detection-engineer übernimmt das Massen-Defanging, die Formatkonvertierung (STIX, CSV, OpenIOC) und die Vertrauensbewertung während ihrer speziellen Phase.

Randfälle

• Benutzer möchte eine Phase überspringen: Erlauben Sie es, notieren Sie den Übersprung in der Zustandsdatei und fahren Sie mit der angeforderten Phase fort
• Benutzer liefert Beweise ohne explizites Routing: Leiten Sie die Phase aus dem Beweistyp ab (Procmon-CSV → dynamische Analyse, Sysmon-JSON → dynamische Analyse, olevba-Ausgabe → spezialisierte Dateianalyse, usw.)
• Sitzungsneustart: Lesen Sie analysis_state.md, um den Kontext wiederherzustellen und von der zuletzt aufgezeichneten Phase fortzusetzen
• Einzelne Probe, bekannter Typ: Überspringen Sie die Batch-Triage und gehen Sie direkt zur entsprechenden Fähigkeit
• Benutzer fordert explizit eine bestimmte Sub-Fähigkeit an: Geben Sie der Wahl des Benutzers nach
• Gutartige Probe: Wenn die Triage ergibt, dass eine Probe sauber/gutartig ist, markieren Sie ihre Phase in der Zustandsdatei als Benign, notieren Sie die Begründung und fahren Sie mit der nächsten Probe fort. Führen Sie keine weiteren Analysephasen durch.
• Nicht erkannter Dateityp: Wenn die Ausgabe von file keinem bekannten Routing-Muster entspricht, verwenden Sie standardmäßig malware-triage/SKILL.md für die manuelle Bewertung. Notieren Sie den unbekannten Typ in der Zustandsdatei.
• Konflikte mit der Zustandsdatei: Wenn eine bestehende analysis_state.md gefunden wird, fragen Sie, ob das bestehende Engagement fortgesetzt oder ein neues gestartet werden soll (mit einem datumsgestempelten Dateinamen wie analysis_state_2026-03-15.md)
• Ausführung aus dem Skill-Repository: Wenn das Arbeitsverzeichnis offenbar dieses Skill-Repository selbst ist (enthält malware-triage/, detection-engineer/, usw. als Unterverzeichnisse), warnen Sie den Benutzer und bitten Sie ihn, vor der Erstellung einer Zustandsdatei in seinen Analyse-Arbeitsbereich zu wechseln

Sub-Fähigkeiten-Referenz

Der Orchestrator delegiert an diese Sub-Fähigkeiten, indem er ihre SKILL.md-Dateien zur Laufzeit liest:

Sub-Fähigkeit	Pfad	Zweck
Malware-Triage	malware-triage/SKILL.md	Schnelle Bewertung, Klassifizierung, Priorisierung
Dynamische Analyse	malware-dynamic-analysis/SKILL.md	Sichere Ausführung, Verhaltensüberwachung in isolierten VMs
Spezialisierter Datei-Analysator	specialized-file-analyzer/SKILL.md	Analyse von Nicht-PE-Dateien (.NET, Office, PDF, Skripte, Archive, LNK, ELF)
Erkennungsentwickler	detection-engineer/SKILL.md	Sigma-Regeln, Suricata-Regeln, Jagdabfragen, IOC-Defanging
Berichtsschreiber	malware-report-writer/SKILL.md	Professionelle Berichte, YARA-Regeln, Qualitätschecklisten

Wenn Sie eine Phase betreten, lesen Sie die entsprechende SKILL.md-Datei und befolgen Sie deren Anweisungen. Führen Sie den kumulierten Zustand aus früheren Phasen weiter.

MCP-Server-Integrationen (Optional)

MCP-Server können manuelle Schritte wie Hash-Abfragen und IOC-Anreicherung automatisieren. Falls verfügbar, nutzen Sie sie, um den Workflow zu beschleunigen – sie sind jedoch nicht erforderlich.

Siehe references/mcp_integrations.md für Einrichtungsanweisungen und eine Zuordnung, welche MCP-Server welche Fähigkeiten unterstützen. Die beiden Integrationen mit der größten Wirkung sind:

1. VirusTotal MCP – automatisiert Hash-/URL-/Domain-Reputationsprüfungen während der Triage
2. Threat Intel MCP – vereinheitlichter Zugriff auf MalwareBazaar, ThreatFox, AbuseIPDB und GreyNoise zur IOC-Validierung