Malware Analysis

analyzing-cobaltstrike-malleable-c2-profiles aide à parser les profils Malleable C2 de Cobalt Strike pour en extraire des indicateurs C2, des traces d’évasion et des pistes de détection, dans des workflows d’analyse malware, de threat hunting et d’audit de sécurité. Le skill s’appuie sur dissect.cobaltstrike et pyMalleableC2 pour l’analyse des profils et de la configuration beacon.

analyzing-android-malware-with-apktool est une skill d’analyse statique de malwares Android APK. Elle s’appuie sur apktool, jadx et androguard pour décompresser les applications, examiner les manifests et les permissions, reconstruire un code proche du source et extraire les API suspectes ainsi que les IOC pour l’analyse des malwares.

detecting-rootkit-activity est un skill d’analyse de malware conçu pour repérer des indices de rootkit, comme des processus masqués, des appels système détournés, des structures noyau modifiées, des modules cachés et des artefacts réseau dissimulés. Il s’appuie sur la comparaison croisée des vues et sur des contrôles d’intégrité pour aider à valider des hôtes suspects lorsque les outils standards ne concordent pas.

analyzing-bootkit-and-rootkit-samples est une skill d’analyse de malware pour les investigations MBR, VBR, UEFI et rootkit. Utilisez-la pour examiner les secteurs de démarrage, les modules de firmware et les indicateurs anti-rootkit lorsque la compromission persiste sous la couche du système d’exploitation. Elle convient aux analystes qui ont besoin d’un guide pratique, d’un workflow clair et d’un triage fondé sur des preuves pour l’analyse de malware.

La skill detecting-mobile-malware-behavior analyse les applications Android et iOS suspectes pour repérer les abus de permissions, l’activité à l’exécution, les indicateurs réseau et les schémas de type malware. Utilisez-la pour le triage, la réponse à incident et la détection du comportement des malwares mobiles dans des workflows d’audit de sécurité, avec une analyse mobile étayée par des preuves.

analyzing-supply-chain-malware-artifacts est un skill d’analyse malware pour remonter la piste de mises à jour trojanisées, de dépendances empoisonnées et d’altérations de pipeline de build. Utilisez-le pour comparer des artefacts fiables et suspects, extraire des indicateurs de compromission, évaluer l’étendue de l’incident et rédiger des conclusions avec moins d’incertitude.

analyzing-ransomware-payment-wallets est une compétence de blockchain forensics en lecture seule pour retracer les portefeuilles de paiement ransomware, suivre les mouvements de fonds et regrouper les adresses associées pour les audits de sécurité et la réponse aux incidents. Utilisez-la si vous disposez d’une adresse BTC, d’un hash de transaction ou d’un portefeuille suspect et que vous avez besoin d’un appui à l’attribution fondé sur des preuves.

Compétence d’analyse de malware dédiée à l’examen des mécanismes de chiffrement des ransomwares : identification du chiffrement, gestion des clés et faisabilité du déchiffrement. Utilisez-la pour inspecter AES, RSA, ChaCha20, les schémas hybrides et les failles d’implémentation susceptibles de permettre une récupération.

analyzing-ransomware-leak-site-intelligence aide à surveiller les sites de fuite de données liés aux ransomwares, à extraire des signaux sur les victimes et les groupes, et à produire une threat intelligence structurée pour la réponse à incident, l’évaluation du risque sectoriel et le suivi des adversaires.

analyzing-malware-sandbox-evasion-techniques aide les analystes malware à examiner les comportements Cuckoo et AnyRun pour repérer les vérifications de timing, les artefacts de VM, les garde-fous liés à l’interaction utilisateur et l’allongement artificiel des délais d’exécution. Cette compétence est conçue pour un flux de travail d’analyse ciblé autour de analyzing-malware-sandbox-evasion-techniques dans le cadre de l’analyse malware, afin d’évaluer si un échantillon cherche à se cacher d’une sandbox.

analyzing-malware-persistence-with-autoruns est une compétence Sysinternals Autoruns pour l’analyse de malware. Elle aide à inspecter la persistance Windows dans les clés Run, les services, les tâches planifiées, Winlogon, les pilotes et WMI, grâce à un workflow reproductible avec export CSV, revue des entrées suspectes et résultats prêts à être consignés dans un rapport.

Guide du skill extracting-iocs-from-malware-samples pour l’analyse de malwares : extraire les hashes, IP, domaines, URLs, artefacts hôte et indices de validation à partir d’échantillons pour la threat intelligence et la détection.

Compétence « extracting-config-from-agent-tesla-rat » pour l’analyse de malware : extraire la configuration .NET d’Agent Tesla, les identifiants SMTP/FTP/Telegram, les réglages du keylogger et les points de terminaison C2 avec un workflow reproductible.

eradicating-malware-from-infected-systems est une compétence de réponse à incident en cybersécurité destinée à supprimer les malwares, les portes dérobées et les mécanismes de persistance après confinement. Elle fournit des indications de workflow, des fichiers de référence et des scripts pour le nettoyage sous Windows et Linux, la rotation des identifiants, la remédiation des causes racines et la validation.

Le skill de détection d’attaques de type Stuxnet aide les équipes défensives à repérer des schémas d’intrusion OT et ICS inspirés de Stuxnet, notamment la falsification de la logique PLC, les données capteurs usurpées, la compromission d’un poste d’ingénierie et les mouvements latéraux de l’IT vers l’OT. Utilisez-le pour la chasse aux menaces, le triage des incidents et la surveillance de l’intégrité des processus, à partir d’indices issus des protocoles, des hôtes et des processus.

detecting-ransomware-encryption-behavior aide les défenseurs à repérer un chiffrement de type ransomware grâce à l’analyse de l’entropie, à la surveillance des E/S fichiers et à des heuristiques comportementales. Ce skill convient à la réponse à incident, au réglage d’un SOC et à la validation red team lorsque vous devez détecter rapidement des changements massifs de fichiers, des rafales de renommage et une activité suspecte de processus.

detecting-process-injection-techniques aide à analyser les activités suspectes en mémoire, à valider les alertes EDR et à identifier le process hollowing, l’injection APC, le détournement de thread, le chargement réflexif et l’injection DLL classique pour les audits de sécurité et le triage de malwares.

analyzing-packed-malware-with-upx-unpacker est une skill d’analyse malware pour repérer les échantillons packés avec UPX, gérer les en-têtes UPX modifiés et récupérer l’exécutable d’origine pour une analyse statique dans Ghidra ou IDA. Utilisez-la lorsque `upx -d` échoue ou quand vous avez besoin d’un contrôle plus rapide du packer UPX et d’un flux de dépaquetage efficace.

analyzing-memory-dumps-with-volatility est une compétence Volatility 3 pour la criminalistique mémoire, le triage de malwares, l’analyse des processus cachés, des injections, de l’activité réseau et des identifiants dans des dumps RAM sous Windows, Linux ou macOS. Utilisez-la lorsque vous avez besoin d’un guide reproductible d’analyse de dumps mémoire avec Volatility pour la réponse à incident et l’analyse de malwares.

analyzing-malicious-pdf-with-peepdf est une compétence d’analyse statique de malwares pour les PDF suspects. Utilisez peepdf, pdfid et pdf-parser pour trier les pièces jointes de phishing, inspecter les objets, extraire du JavaScript ou du shellcode embarqué, et examiner en toute sécurité les flux suspects sans exécution.

analyzing-macro-malware-in-office-documents aide les analystes malware à examiner du VBA malveillant dans des fichiers Word, Excel et PowerPoint, à décoder l’obfuscation et à extraire des IOC, les chemins d’exécution et la logique de préparation des charges utiles pour le triage de phishing, la réponse à incident et l’analyse de documents malveillants.

analyzing-linux-kernel-rootkits aide les workflows DFIR et de threat hunting à détecter les rootkits du noyau Linux grâce à des vérifications croisée avec Volatility3, des analyses rkhunter et une comparaison /proc vs /sys pour repérer les modules cachés, les syscalls détournés et les structures du noyau altérées. C’est un guide pratique analyzing-linux-kernel-rootkits pour le triage forensique.

analyzing-golang-malware-with-ghidra aide les analystes à rétroconcevoir des malwares compilés en Go dans Ghidra, avec des workflows pour la récupération des fonctions, l’extraction des chaînes, les métadonnées de build et la cartographie des dépendances. Le skill analyzing-golang-malware-with-ghidra est utile pour le triage de malware, la réponse à incident et les tâches de Security Audit qui exigent des étapes d’analyse pratiques, spécifiques à Go.

analyzing-linux-elf-malware aide à analyser des binaires ELF Linux suspects dans le cadre d’une analyse de malware, avec des conseils pour vérifier l’architecture, extraire les chaînes, examiner les imports, faire un triage statique et repérer tôt des indices de botnets, de mineurs, de rootkits, de ransomwares et de menaces visant les conteneurs.