CC detecting-fileless-malware-techniques
Обнаруживает и анализирует бесфайловые вредоносные программы, которые работают полностью в памяти, используя PowerShell, WMI, .NET reflection, полезные нагрузки, хранящиеся в реестре, и легитимные системные утилиты (LOLBins) без записи традиционных исполняемых файлов на диск. Используйте для запросов, связанных с обнаружением бесфайловых угроз, исследованием вредоносных программ в памяти, анализом злоупотреблений LOLBin или проверкой устойчивости WMI.
машинный переводПоказать оригиналСкрыть оригинал«Detects and analyzes fileless malware that operates entirely in memory…»
Detects and analyzes fileless malware that operates entirely in memory using PowerShell, WMI, .NET reflection, registry-resident payloads, and living-off-the-land binaries (LOLBins) without writing traditional executable files to disk. Use for requests involving fileless threat detection, in-memory malware investigation, LOLBin abuse analysis, or WMI persistence examination.
Обнаруживает и анализирует бесфайловые вредоносные программы, которые работают полностью в памяти, используя PowerShell, WMI, .NET reflection, полезные…
Как процесс C 54/100 · Есть пробелы — Скилл ссылается на файлы, которых нет в архиве: references/yara-fileless-powershell.yar
Чем это грозит
Находки средней серьёзности: скорее всего скилл честный, но прочитайте, что именно насторожило сканер.
Ниже описан худший случай для этой категории. Здесь находка средней серьёзности: guard увидел признак, но не доказательство.
Скилл содержит команды, которые удаляют файлы, переписывают диски или исполняют код, скачанный из сети. Агент может выполнить их без вопроса, если считает, что так требует инструкция.
Замените разрушительные команды на безопасные аналоги с подтверждением, ограничьте область действия конкретной папкой и не тяните код через curl | bash: укажите версию и контрольную сумму.
Как улучшить
- В тексте есть ссылки на отсутствующие файлы: добавьте файлы или уберите ссылки.
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 10
✓ Критических и высоких находок нет
Средние и низкие: 10
-
средняя Опасные команды
cmd-persistencescripts/agent.py:138Механизм закрепления (cron / launchd / планировщик / автозапуск в реестре) (строковый литерал в коде, не выполняется)r"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
строка в коде -
средняя Опасные команды
cmd-persistencescripts/agent.py:139Механизм закрепления (cron / launchd / планировщик / автозапуск в реестре) (строковый литерал в коде, не выполняется)r"HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
строка в коде -
низкая Рискованное назначение
intent-offensive-securitySKILL.md:324Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)WMI process creation for lateral movement
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:331Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)Phase 4 - Privilege Escalation:
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:335Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)Phase 5 - Lateral Movement:
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:379Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)7. Map the complete attack chain from initial access through persistence and lateral movement
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:390Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)FILELESS MALWARE ANALYSIS REPORT
-
низкая Секреты в коде
secret-high-entropy-tokenSKILL.md:403Строка, похожая на токен (может быть id, хеш или секрет) (определение детектора / чёрного списка)WHERE TargetInstance ISA 'Win3…tem'
детектор
Ещё 2 совпадений отнесены к цитатам в документации скилла по безопасности и не считаются находками.
Просканировано файлов: 4. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- предупреждение
missing-refссылка на отсутствующий файл: references/yara-fileless-powershell.yar - заметка
frontmatter-keyнеизвестное поле фронтматтера "domain" - заметка
frontmatter-keyнеизвестное поле фронтматтера "subdomain" - заметка
frontmatter-keyнеизвестное поле фронтматтера "d3fend_techniques" - заметка
frontmatter-keyнеизвестное поле фронтматтера "nist_csf" - заметка
frontmatter-keyнеизвестное поле фронтматтера "mitre_attack"
Процессный рейтинг: все десять параметров 54/100
- 0Инструменты и файлы. Не хватает 1 файла(ов): references/yara-fileless-powershell.yar
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 30Повторный запуск. Изменяющих операций: 1, без проверки текущего состояния
- 50Когда включается. Не сказано, при каком запросе скилл включается
- 60Результат и критерий готовности. Формат результата описан, критерия завершения нет
- 70Входы и предусловия. Входные данные и предусловия перечислены
- 100Шаги. Шагов: 27
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 3933 токенов
- 100Отчётность по ходу. Скилл сообщает о ходе работы
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- -41 справочных файлов, но SKILL.md на них не ссылается: модель их не откроет
- -31 из 1 скриптов не упомянуты в SKILL.md
- +2Инструкции на одном языке
- +4Описание говорит, когда скилл НЕ применять
- +3Длина description 377 символов: достаточно сигнала, не съедает бюджет
- +4Структура: 16 заголовков
- +3Пошаговые инструкции: 27 пунктов
- +3Формат ответа описан явно
- +4Есть примеры (9 блоков кода)
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 76.