Malware Analysis

analyzing-ransomware-network-indicators 可協助分析 Zeek conn.log 與 NetFlow，找出 C2 beaconing、TOR 出口、資料外傳，以及可疑 DNS，適用於安全稽核與事件應變。

這是一份用 Rekall 分析 Windows 記憶體映像的 extracting-memory-artifacts-with-rekall 指南。你將學到安裝與使用模式，並找出隱藏程序、注入程式碼、可疑 VAD、已載入 DLL 與網路活動，適用於數位鑑識。

detecting-process-hollowing-technique 協助在 Windows 遙測中狩獵程序空洞化（T1055.012），透過關聯掛起啟動、記憶體竄改、父子程序異常與 API 證據來提升偵測命中率。它適合需要可落地的 detecting-process-hollowing-technique 來支援 Threat Hunting 工作流程的威脅獵捕者、偵測工程師與應變人員。

detecting-fileless-attacks-on-endpoints 可協助建立針對 Windows 端點記憶體內攻擊的偵測，包括 PowerShell 濫用、WMI 持久化、反射式載入與程序注入。適合用於安全稽核、威脅狩獵與偵測工程，並搭配 Sysmon、AMSI 與 PowerShell 記錄來使用。

analyzing-windows-amcache-artifacts 技能會解析 Windows 的 Amcache.hve 資料，用於還原程式執行、已安裝軟體、裝置活動與驅動程式載入的證據，支援 DFIR 與安全稽核流程。它結合 AmcacheParser 與基於 regipy 的操作指引，協助進行 artifact 擷取、SHA-1 關聯與時間軸檢視。

這個 analyzing-powershell-script-block-logging 技能可用來解析 Windows PowerShell Script Block Logging 的 Event ID 4104（來自 EVTX 檔案），重建被拆分的 script block，並標記混淆指令、編碼 payload、Invoke-Expression 濫用、download cradle，以及 AMSI bypass 嘗試，適合 Security Audit 工作。

analyzing-network-traffic-of-malware 可協助檢視來自沙箱執行或事件應變的 PCAP 與遙測資料，找出 C2、資料外傳、payload 下載、DNS 隧道與偵測靈感。這是一份實用的 analyzing-network-traffic-of-malware 指南，適合 Security Audit 與惡意程式初步分流。

analyzing-malicious-url-with-urlscan 可協助分析人員使用 URLScan.io 先行分流可疑連結，檢視重新導向、截圖、DOM 內容與網路呼叫，並將結果整理成 IOC 與清楚的資安判斷。適合用於釣魚事件應變、URL 分析與 Security Audit 工作流程。

analyzing-heap-spray-exploitation 可搭配 Volatility3 分析記憶體傾印中的 heap spray 利用手法。它能辨識 NOP sled 模式、可疑的大型配置、shellcode 落點區，以及 process VAD 證據，適用於 Security Audit、惡意程式初步分流與漏洞利用驗證。

analyzing-cobalt-strike-beacon-configuration 可協助從 PE 檔、shellcode 與記憶體傾印中擷取並分析 Cobalt Strike beacon 組態，用來辨識 C2 基礎設施、sleep/jitter、user-agent、watermark 及 malleable profile 細節，支援 Security Audit、威脅狩獵與事件回應。