analyzing-bootkit-and-rootkit-samples

analyzing-bootkit-and-rootkit-skill 總覽

analyzing-bootkit-and-rootkit-samples 是一個惡意程式分析技能，適用於入侵發生在作業系統之前的情境：受感染的 MBR/VBR 程式碼、UEFI 持久化，以及會躲避一般資安工具的 rootkit 行為。當你需要檢查開機磁區、韌體模組，或 anti-rootkit 指標，而不是分析一般 user-mode payload 時，這個 skill 就很合適。

這個 analyzing-bootkit-and-rootkit-samples skill 特別適合事件應變人員、逆向工程師，以及已經懷疑有 OS 層以下持久化的威脅獵捕人員。它的核心任務，是把原始磁碟、韌體或記憶體證據，轉成一份站得住腳的判讀：到底有沒有 bootkit 或 rootkit、它如何持久化，以及接下來該查什麼。

這個 skill 的用途

這個 skill 聚焦於 Malware Analysis 工作流程中的 pre-OS 惡意程式分析：MBR 擷取、VBR 檢視、UEFI 檢查、Secure Boot 檢測，以及以 rootkit 為導向的初步篩查。當一般防毒或 EDR 沒抓到問題、重灌仍無法清除入侵，或韌體完整性看起來可疑時，它特別有用。

為什麼這個 skill 不一樣

不同於一般化的提示詞，analyzing-bootkit-and-rootkit-samples 提供的是依照關鍵證據所設計的流程：磁碟磁區、韌體區塊，以及低階檢視工具。這讓它比那些預設會有可執行檔與 sandbox 的泛用惡意程式提示，更適合處理高度依賴持久化的調查。

最適合的讀者

如果你需要的是一份實用的 analyzing-bootkit-and-rootkit-samples 分析指南，而不是理論總覽，這個 skill 很適合。它適合能夠蒐集映像檔或 dump、閱讀反組譯，並把結果與已知的開機磁區與韌體模式比對的分析人員。

如何使用 analyzing-bootkit-and-rootkit-skill

安裝到你的 skill 集合中

先依照 repository 的安裝流程安裝 analyzing-bootkit-and-rootkit-samples，再把你的 agent 指向 skills/analyzing-bootkit-and-rootkit-samples 底下的 skill 路徑。先載入 skill 定義與支援參考檔，讓工作流程、指令與工具假設保持一致。

先閱讀這些檔案

先從 SKILL.md 開始，再查看 references/api-reference.md 和 scripts/agent.py。SKILL.md 會說明這個 skill 何時應該啟動；references/api-reference.md 會展示具體的分析指令；scripts/agent.py 則會透露這個 skill 預期要解析或自動化哪些內容。如果你需要授權或來源資訊，也請一併查看 LICENSE。

提示詞要提供什麼

一個好的 analyzing-bootkit-and-rootkit-samples 使用提示詞，應該清楚寫出證據類型、平台和目標。例如：“Analyze this MBR dump for bootkit indicators, compare it with a clean Windows MBR, and explain whether the partition table and boot signature look normal.” 如果你有韌體，請補上 dump 來源、廠商，以及是否涉及 Secure Boot 或 SPI 存取。

能產出更好結果的工作流程

一次只給這個 skill 一種證據：先 MBR/VBR，再韌體，最後才是記憶體追蹤。要求具體輸出，例如可疑的持久化機制、異常位移（offset），以及驗證步驟。這樣能讓分析保持聚焦，也更容易用你自己的工具去交叉驗證結果。

analyzing-bootkit-and-rootkit-skill 常見問題

analyzing-bootkit-and-rootkit-samples 只適合進階情境嗎？

大致上是。它是為 pre-OS 惡意程式與 rootkit 持久化而設計，所以不是一般木馬、腳本或瀏覽器惡意程式的預設選項。如果入侵在重灌後仍存在、會躲過掃描器，或改動了韌體狀態，這個 skill 才是對的選擇。

它和一般惡意程式提示詞有什麼差別？

一般提示詞通常假設你拿到的是可上傳、可在 sandbox 裡檢查的檔案。analyzing-bootkit-and-rootkit-samples 則是假設你處理的是低階證據，例如磁碟磁區、開機碼、UEFI 模組，以及硬體安全檢查。這個差異很重要，因為分析路徑、工具與驗證點完全不同。

我需要專門工具才能從中受益嗎？

是的，如果你能使用 dd、ndisasm、UEFI 工具和 chipsec，通常會得到最好結果。即使你不打算直接執行每個指令，這個 skill 仍然有助於規劃與解讀；但如果能搭配實際磁碟或韌體資料，效果會最強。

這個 skill 適合 Malware Analysis 新手嗎？

如果你已經懂一些基本惡意程式概念，新手也能用；但它不是那種「不需要任何背景就能直接上手」的 beginner-friendly 工具。如果你剛入門，建議先準備乾淨的證據資料，再請這個 skill 逐項說明每個發現與持久化、隱匿和驗證之間的關係。

如何改進 analyzing-bootkit-and-rootkit-skill

提供更好的證據

最大的品質提升來自更精準的輸入：確切的裝置映像、韌體廠商、OS 版本、疑似感染點，以及任何觀察到的異常。對於 Malware Analysis 的 analyzing-bootkit-and-rootkit-samples 來說，一個好的提示詞應該包含 hash、offset、開機簽章狀態、Secure Boot 狀態，以及問題影響的是 MBR、VBR 還是 UEFI。

要求比對，不只要結論

不要只問「這是不是惡意的？」而是要它和乾淨基準做比對、指出可疑的 byte range，並說明為什麼某個 boot sector 或 module 看起來被改動過。這樣能引導 skill 用你可以透過反組譯或韌體擷取驗證的方式來說明發現。

留意常見失敗模式

最常見的錯誤，是把「幫我檢查這個 malware」這種模糊請求丟出去，但真正的問題其實是磁碟或韌體持久化。另一種失敗模式，是在同一個提示詞裡混入多層證據，讓根因更難釐清。必要時，請把任務拆成幾個獨立分析。

在第一輪之後再迭代

利用第一輪結果縮小下一輪需求：例如要求更深入的反組譯、逐個模組的 UEFI 檢視，或一份確認可疑 rootkit 的檢查清單。如果輸出仍不夠確定，就補更多原始背景，並請這個 skill 明確說出還需要哪種額外證據，才能確認或排除該發現。