Configuração de Malware de Competição

Use esta habilidade apenas como uma especialização posterior, depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade de nó e prioridades de evidência. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade quando o valor decisivo não for apenas "o que a amostra faz", mas quais campos de configuração, estágios ou parâmetros de rede a amostra oculta e quando eles se tornam texto simples.

Responda em chinês simplificado, a menos que o usuário solicite explicitamente o inglês.

Início Rápido

1. Preserve a amostra original antes de descompactar ou aplicar patches.
2. Separe o loader, payload, blob de configuração e comportamento pós-decodificação.
3. Classifique os blobs de configuração candidatos por entropia, formato de campo, strings próximas e auxiliares de decodificação.
4. Registre a cadeia de transformação exata para cada campo recuperado.
5. Reproduza a configuração decodificada ou os parâmetros do beacon a partir do menor caminho possível.

Fluxo de Trabalho

1. Encontre o Limite da Configuração

• Inspecione seções, recursos, arquivos compactados incorporados, strings, importações e auxiliares de decodificação.
• Identifique onde a configuração é armazenada: recurso, overlay, blob criptografado, semente de registro, bootstrap de rede ou memória do estágio 2.
• Mantenha uma anotação de quando cada valor se torna texto simples.

2. Reconstrua a Cadeia de Decodificação

• Recupere a cadeia em ordem: contêiner -> compressão -> codificação -> xor/substituição -> criptografia -> análise.
• Agrupe todos os campos de configuração da mesma cadeia em vez de tratá-los como pistas não relacionadas.
• Preserve hashes, offsets, chaves, IVs, máscaras e campos analisados em um bloco de evidências compacto.

3. Conecte a Configuração ao Comportamento

• Mostre qual campo afeta qual ramificação: caminho do beacon, mutex, carteira, ID do bot, campanha, rota de tarefas, nome de persistência ou alvo do processo.
• Correlacione a configuração decodificada com PCAPs, árvores de processos ou strings do estágio 2, quando possível.

Leia esta Referência

• Carregue references/malware-config.md para a lista de verificação de caça de configuração, lista de verificação de amostra em estágio e regras de empacotamento de evidências.

O Que Preservar

• Artefato original, camada descompactada, estágio despejado e configuração analisada como artefatos separados
• Offsets, hashes, auxiliares de decodificação, chaves, máscaras e nomes de campos
• A ramificação ou etapa do protocolo que cada campo recuperado realmente influencia