gl0bal01/orquestrador-analise-malware-claude-skills

Orquestrador de Análise de Malware

Ponto de entrada único para engajamentos de análise de malware. Roteia para sub-skills especializadas, carrega descobertas entre fases e gerencia fluxos de trabalho com múltiplas amostras.

Como Funciona

Você descreve o que precisa — "analise esta amostra", "tenho 5 arquivos para triagem", "crie regras de detecção a partir das minhas descobertas" — e este orquestrador:

1. Determina qual sub-skill usar com base no tipo de arquivo e na sua intenção
2. Guia você pela análise usando aquela sub-skill
3. Registra as descobertas em um arquivo de estado (analysis_state.md)
4. Recomenda a próxima fase quando a atual for concluída
5. Aguarda sua confirmação antes de prosseguir

Você nunca precisa invocar sub-skills diretamente.

Lógica de Roteamento

Sinal	Roteia Para
Arquivo desconhecido / "o que é isso?" / avaliação inicial	malware-triage
Executável PE após triagem, necessitando monitoramento de comportamento	malware-dynamic-analysis
.NET / Office / PDF / script / archive / LNK / ELF / HTA / ISO / IMG / VHD / VHDX	specialized-file-analyzer
"Criar regras de detecção" / fase pós-análise	detection-engineer
"Escrever o relatório" / fase de documentação final	malware-report-writer
Regras YARA especificamente	malware-report-writer (não detection-engineer)

Triagem é sempre o ponto de entrada para novas amostras. A tabela acima descreve qual skill de análise segue a triagem.

Ordem de Prioridade por Tipo de Arquivo

Ao rotear por tipo de arquivo, use a saída do comando file. Verifique nesta ordem — o primeiro que corresponder vence:

1. "Mono/.Net assembly" → leia e siga specialized-file-analyzer/SKILL.md
2. "Microsoft Office Document" → leia e siga specialized-file-analyzer/SKILL.md
3. "PDF document" → leia e siga specialized-file-analyzer/SKILL.md
4. "ELF" → leia e siga specialized-file-analyzer/SKILL.md
5. "PE32" / "PE64" (apenas se .NET NÃO foi correspondido) → leia e siga malware-triage/SKILL.md, depois malware-dynamic-analysis/SKILL.md
6. "MS Windows shortcut" (LNK) → leia e siga specialized-file-analyzer/SKILL.md
7. ASCII text / conteúdo de script → leia e siga specialized-file-analyzer/SKILL.md
8. Formatos de arquivo (Zip, RAR, 7z) → leia e siga specialized-file-analyzer/SKILL.md
9. HTML Application (.hta) → leia e siga specialized-file-analyzer/SKILL.md
10. Imagens de disco ISO/IMG → leia e siga specialized-file-analyzer/SKILL.md (montar/extrair, depois analisar conteúdo)
11. Discos rígidos virtuais VHD/VHDX → leia e siga specialized-file-analyzer/SKILL.md (montar/extrair, depois analisar conteúdo)
12. "data" / zero-byte / não reconhecido → leia e siga malware-triage/SKILL.md para avaliação manual

.NET é a ambiguidade chave: o comando file gera tanto "PE32" quanto "Mono/.Net assembly" para assemblies .NET. Sempre verifique .NET antes de verificar PE.

Sequência de Fases

Cada amostra segue esta sequência:

Triagem → [Análise Dinâmica OU Análise de Arquivo Especializado] → Engenharia de Detecção → Elaboração de Relatório

• Triagem é sempre primeiro — leia e siga malware-triage/SKILL.md
• Análise dinâmica para executáveis PE — leia e siga malware-dynamic-analysis/SKILL.md
• Análise de arquivo especializado para arquivos não-PE (.NET, Office, PDF, scripts, arquivos, LNK, ELF) — leia e siga specialized-file-analyzer/SKILL.md
• Engenharia de detecção consolida IOCs em regras Sigma/Suricata — leia e siga detection-engineer/SKILL.md
• Elaboração de relatório é sempre o último — leia e siga malware-report-writer/SKILL.md

Transições de Fase (Modo Sugerir-Próximo)

Após cada fase ser concluída:

1. Resuma o que foi encontrado na fase atual
2. Atualize analysis_state.md com descobertas e IOCs
3. Recomende a próxima skill com justificativa baseada nas descobertas
4. Aguarde a confirmação do usuário antes de prosseguir

Nunca encadeie fases automaticamente. Cada transição exige confirmação do usuário.

Limite de Isolamento da VM

Antes da análise dinâmica, lembre explicitamente ao usuário:

"A próxima fase requer a execução da amostra em sua VM isolada (REMnux/FlareVM). Por favor:

1. Execute a amostra com ferramentas de monitoramento ativas (Procmon, Wireshark, System Informer (anteriormente Process Hacker), Sysmon)
2. Observe por pelo menos 15 minutos
3. Exporte evidências em formatos texto-parseáveis (CSV, JSON, TXT — não PML, PCAP, EVTX)
4. Retorne aqui com os arquivos de evidência exportados

Analisarei as evidências quando você voltar."

Arquivo de Estado: analysis_state.md

Criado no diretório de trabalho do usuário (não neste repositório de skill) quando a primeira amostra é fornecida. Atualizado após cada fase.

Estrutura

# Análise de Malware — [Nome do Engajamento/Data]

**Analista:** [nome]
**Iniciado em:** [data]
**Status:** [Em Andamento / Concluído]

---

## Amostras

### Amostra 1: [nome do arquivo]
- **Tipo de Arquivo:** [tipo]
- **MD5:** [hash]
- **SHA1:** [hash]
- **SHA256:** [hash]
- **Tamanho:** [bytes]
- **Prioridade:** [Imediata / Padrão / Baixa]
- **Classificação:** [Trojan / Ransomware / etc. ou Pendente]
- **Nível de Ameaça:** [Crítico / Alto / Médio / Baixo ou Pendente]
- **Fase Atual:** [Triagem / Análise Dinâmica / Análise Especializada / Detecção / Relatório / Concluído / Benigno]

#### Descobertas da Triagem
- [descobertas anexadas após a fase de triagem]

#### Descobertas da Análise
- [descobertas anexadas após a análise dinâmica/especializada]

#### IOCs Identificados
- [IOCs acumulados, defanged]

#### Regras de Detecção Criadas
- [lista de regras criadas e suas localizações]

---

## Próximos Passos
- [recomendação do orquestrador sobre o que fazer a seguir e por quê]

Regras do Arquivo de Estado

• Crie quando o usuário iniciar um engajamento (primeira amostra fornecida)
• Anexe descobertas após cada fase — nunca sobrescreva descobertas anteriores
• Substitua a seção "Próximos Passos" a cada transição (não anexe)
• Retome a partir do arquivo de estado se o usuário retornar em uma nova conversa — leia analysis_state.md para restaurar o contexto
• Todos os IOCs devem ser defanged no momento em que são registrados no arquivo de estado, independentemente de qual fase os produziu

Fluxo de Trabalho em Lote com Múltiplas Amostras

1. Levantamento: Solicite todas as amostras conhecidas antecipadamente — "Quantas amostras você tem? Vamos listá-las todas antes de começar."
2. Triagem em lote: Passagem rápida de triagem em todas as amostras (5-10 min cada — hashes, tipo de arquivo, verificação de reputação, classificação conforme o nível "Triagem Rápida" do skill de triagem)
3. Classificação de prioridade: Classifique as amostras como Imediata / Padrão / Baixa com base nas descobertas da triagem
4. Análise aprofundada sequencial: Guie o usuário pela análise aprofundada das amostras de alta prioridade, uma de cada vez, seguindo a sequência completa de fases por amostra
5. Rastreamento de estado: Atualize o arquivo de estado por amostra para que o usuário possa ver quais amostras foram triadas, analisadas e relatadas

Convenções Aplicadas

• Todos os IOCs em arquivos de estado e relatórios devem estar defanged (hxxp://, [.]com, [@])
• Relatórios sempre incluem todos os três tipos de hash: MD5, SHA1, SHA256
• As evidências devem estar em formatos texto-parseáveis (CSV, JSON, TXT)
• Regras de detecção (YARA, Sigma, Suricata) devem ser testadas antes da inclusão
• IDs de técnica MITRE ATT&CK devem ser marcados em regras Sigma
• Regras Sigma exigem UUIDs únicos
• Regras Suricata personalizadas usam SIDs a partir de 1000000+

Responsabilidade pela Defanging de IOCs

Cada fase faz a defanging dos IOCs antes de anexá-los ao arquivo de estado. O sub-skill detection-engineer lida com a defanging em massa, conversão de formato (STIX, CSV, OpenIOC) e avaliação de confiança durante sua fase dedicada.

Casos Limítrofes

• Usuário quer pular uma fase: Permita, anote o pulo no arquivo de estado e prossiga para a fase solicitada
• Usuário fornece evidências sem roteamento explícito: Infira a fase a partir do tipo de evidência (CSV do Procmon → análise dinâmica, JSON do Sysmon → análise dinâmica, saída do olevba → análise de arquivo especializado, etc.)
• Reinício de sessão: Leia analysis_state.md para restaurar o contexto e retomar da última fase registrada
• Amostra única, tipo conhecido: Pule a triagem em lote e vá diretamente para a skill apropriada
• Usuário solicita explicitamente uma sub-skill específica: Atenda à escolha do usuário
• Amostra benigna: Se a triagem determinar que uma amostra está limpa/benigna, marque sua fase como Benigno no arquivo de estado, anote a justificativa e passe para a próxima amostra. Não prossiga com fases de análise adicionais.
• Tipo de arquivo não reconhecido: Se a saída do file não corresponder a nenhum padrão de roteamento conhecido, use como padrão malware-triage/SKILL.md para avaliação manual. Anote o tipo desconhecido no arquivo de estado.
• Conflitos de arquivo de estado: Se um analysis_state.md existente for encontrado, pergunte se deseja retomar o engajamento existente ou iniciar um novo (com um nome de arquivo com timestamp, como analysis_state_2026-03-15.md)
• Execução a partir do repositório do skill: Se o diretório de trabalho parecer ser o próprio repositório deste skill (contém malware-triage/, detection-engineer/, etc. como subdiretórios), avise o usuário e peça para ele mudar para seu espaço de trabalho de análise antes de criar um arquivo de estado

Referência de Sub-Skills

O orquestrador delega para estes sub-skills lendo seus arquivos SKILL.md em tempo de execução:

Sub-Skill	Caminho	Propósito
Malware Triage	malware-triage/SKILL.md	Avaliação rápida, classificação, priorização
Análise Dinâmica	malware-dynamic-analysis/SKILL.md	Execução segura, monitoramento de comportamento em VMs isoladas
Analisador de Arquivos Especializados	specialized-file-analyzer/SKILL.md	Análise de arquivos não-PE (.NET, Office, PDF, scripts, arquivos, LNK, ELF)
Engenheiro de Detecção	detection-engineer/SKILL.md	Regras Sigma, regras Suricata, consultas de caça, defanging de IOC
Escritor de Relatórios	malware-report-writer/SKILL.md	Relatórios profissionais, regras YARA, listas de verificação de qualidade

Ao entrar em uma fase, leia o arquivo SKILL.md correspondente e siga suas instruções. Carregue o estado acumulado das fases anteriores.

Integrações com Servidores MCP (Opcional)

Servidores MCP podem automatizar etapas manuais como consultas de hash e enriquecimento de IOC. Se disponíveis, use-os para acelerar o fluxo de trabalho — mas eles não são obrigatórios.

Consulte references/mcp_integrations.md para instruções de configuração e um mapeamento de quais servidores MCP beneficiam quais skills. As duas integrações de maior impacto são:

1. VirusTotal MCP — automatiza verificações de reputação de hash/URL/domínio durante a triagem
2. Threat Intel MCP — acesso unificado a MalwareBazaar, ThreatFox, AbuseIPDB e GreyNoise para validação de IOC