analyzing-cobalt-strike-malleable-profiles
使用 pyMalleableC2 解析 Cobalt Strike 可延展 C2 配置文件，提取 Beacon 配置、HTTP 通信模式以及休眠/抖动设置。结合 JARM TLS 指纹识别在网络上检测 C2 服务器。适用于调查疑似 Cobalt Strike 基础设施或为 C2 流量构建检测签名。
Skill by killvxk
Install
Works with Claude Code, Claude apps, Codex, Cursor, Gemini CLI, GitHub Copilot, VS Code, OpenCode, Goose, Windsurf. Read the repository before you give any tool access to your data.
npx agentmarket install skill/killvxk-analyzing-cobalt-strike-malleable-profiles
Asks which of your tools to add it to (Claude Code, Codex, Cursor, VS Code, Windsurf, Gemini CLI, Claude Desktop) and shows the change first. See https://agentmart.dev/cli.
Get the weekly diff
The weekly diff: one email a week with new agent tools, notable updates and grade changes, plus security alerts for tools you follow. Double opt-in, one-click unsubscribe.
About
Reviews
Write a reviewNo reviews yet. Installed it? Reviews come from verified installers only. How reviews work
Permissions
What this skill can do and what it asks for, from its SKILL.md. Checked Oct 25, 2026.
- Tools
- No tools found
- Secrets
- None asked for
- Install scripts
- None found
- Runs as
- Python package
Network hosts it talks to 1
codeload.github.com· found in install command
Files it touches
~/.claude/skills/analyzing-cobalt-strike-malleable-profiles
What's inside
- Skill name
analyzing-cobalt-strike-malleable-profiles- Description
- 使用 pyMalleableC2 解析 Cobalt Strike 可延展 C2 配置文件，提取 Beacon 配置、HTTP 通信模式以及休眠/抖动设置。结合 JARM TLS 指纹识别在网络上检测 C2 服务器。适用于调查疑似 Cobalt Strike 基础设施或为 C2 流量构建检测签名。
- License
- Apache-2.0
- Instructions
- 46 lines in SKILL.md · view on GitHub
Before installing
- Ships executable scripts
Files (4)
- LICENSE
- SKILL.md
- api-reference.md · references/
- agent.py · scripts/
SKILL.md (first lines)
# 分析 Cobalt Strike 可延展配置文件
## 使用说明
使用 pyMalleableC2 库解析可延展 C2 配置文件，提取失陷指标（IOC）和检测机会。结合 JARM 指纹识别来识别 C2 服务器。
```python
from malleablec2 import Profile
# 从文件解析可延展配置文件
profile = Profile.from_file("amazon.profile")
# 提取全局选项（休眠时间、抖动、User-Agent）
print(profile.ast.pretty())
# 获取 HTTP-GET 块的 URI 和 Headers，用于构建网络签名
# 获取 HTTP-POST 块中的数据外泄模式
# 对已知 C2 基础设施生成 JARM 指纹
```
关键分析步骤：
1. 解析可延展配置文件，提取 HTTP-GET/POST URI 模式
2. 提取 User-Agent 字符串和自定义 Headers，用于 IDS 签名
3. 识别休眠时间和抖动，用于设置 Beacon 检测阈值
4. 使用 JARM 扫描可疑 IP，与已知 C2 指纹哈希进行匹配
5. 将提取的 IOC 与网络流量日志进行交叉参考
## 示例
```python
# 解析配置文件并提取检测指标
from malleablec2 import Profile
p = Profile.from_file("cobaltstrike.profile")
print(p) # 重建的源码
# 对可疑 C2 服务器进行 JARM 扫描
import subprocess
result = subprocess.run(
["python3", "jarm.py", "suspect-server.com"],
capture_output=True, text=True
)
print(result.stdout)
# 将指纹与已知 CS JARM 哈希进行比对
```From killvxk/cybersecurity-skills-zh, Apache-2.0.
More from killvxk/cybersecurity-skills-zh
- 0.512score
analyzing-indicators-of-compromise
killvxk
分析失陷指标（IOC），包括 IP 地址、域名、文件哈希、URL 和电子邮件工件，以确定恶意置信度、攻击活动溯源归因和封锁优先级。适用于对来自钓鱼邮件、安全告警或外部威胁情报的 IOC 进行分诊；使用多源情报对原始 IOC 进行富化；或作出封锁/监控/白名单决策时使用。
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-linux-elf-malware
killvxk
分析恶意 Linux ELF（可执行和可链接格式）二进制文件，包括针对 Linux 服务器、容器和云基础设施的僵尸网络、 挖矿程序、勒索软件和 rootkit。涵盖 x86_64 和 ARM ELF 样本的静态分析、动态追踪和逆向工程。 适用于 Linux 恶意软件分析、ELF 二进制文件调查、Linux…
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-cloud-storage-access-patterns
killvxk
通过分析 CloudTrail Data Events、GCS 审计日志和 Azure Storage Analytics，检测 AWS S3、GCS 和 Azure Blob Storage 中的异常访问模式。识别非工作时间的批量下载、来自新 IP 地址的访问、异常 API 调用（GetObject…
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-cyber-kill-chain
killvxk
根据 Lockheed Martin Cyber Kill Chain 框架分析入侵活动，识别对手已完成的阶段、防御成功或失败的位置，以及哪些控制措施本可在更早阶段中断攻击。适用于事后分析、构建以预防为中心的安全控制，或将检测差距映射到杀伤链阶段时使用。
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-ios-app-security-with-objection
killvxk
使用基于 Frida 的工具包 Objection 对 iOS 应用程序进行运行时移动安全探测， 无需越狱即可与应用内部交互。适用于评估 iOS 应用安全态势、绕过客户端防护措施、 转储 Keychain 条目、检查文件系统存储以及评估运行时行为。当请求涉及 iOS 安全测试、 Objection 运行时分析、基于…
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-kubernetes-audit-logs
killvxk
解析 Kubernetes API server 审计日志（JSON lines 格式），检测 exec 进入 Pod、 Secret 访问、RBAC 修改、特权 Pod 创建以及匿名 API 访问行为。 从审计事件模式构建威胁检测规则。适用于调查 Kubernetes 集群入侵 或构建 k8s 专用 SIEM…
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-azure-activity-logs-for-threats
killvxk
通过 azure-monitor-query 查询 Azure Monitor 活动日志和登录日志，检测可疑管理操作、不可能的地理旅行（Impossible Travel）、权限提升和资源修改。为 Azure 环境的威胁狩猎构建 KQL 查询。适用于调查可疑的 Azure 租户活动或构建云 SIEM 检测规则。
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-bootkit-and-rootkit-samples
killvxk
分析感染主引导记录（MBR）、卷引导记录（VBR）或 UEFI 固件以在操作系统底层获取持久化的 bootkit 和高级 rootkit 恶意软件。 涵盖引导扇区分析、UEFI 模块检查和反 rootkit 检测技术。 适用于 bootkit 分析、MBR 恶意软件调查、UEFI 持久化分析或 OS…
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-command-and-control-communication
killvxk
分析恶意软件命令与控制（C2）通信协议，以了解 beacon 模式、命令结构、数据编码和基础设施。 涵盖 HTTP、HTTPS、DNS 和自定义协议 C2 分析，用于检测规则开发和威胁情报。 适用于 C2 分析、beacon 检测、C2 协议逆向工程或命令与控制基础设施绘图相关请求。
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-campaign-attribution-evidence
killvxk
攻击活动溯源归因分析涉及系统性地评估证据，以确定哪个威胁行为者或组织对某次网络行动负责。本技能涵盖使用 Diamond Model 和 ACH（竞争假设分析）收集并加权溯源归因指标、分析基础设施重叠、TTP 一致性、恶意软件代码相似性、操作时序模式和语言痕迹，以构建置信度加权的溯源归因评估。
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-api-gateway-access-logs
killvxk
解析 API 网关访问日志（AWS API Gateway、Kong、Nginx），检测 BOLA/IDOR 攻击、速率限制绕过、凭据扫描和注入尝试。使用 pandas 进行请求模式的统计分析和异常检测。适用于调查 API 滥用或构建 API 专项威胁检测规则。
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-linux-kernel-rootkits
killvxk
使用 Volatility3 Linux 插件（check_syscall、lsmod、hidden_modules）分析 Linux 内存转储，结合 rkhunter 系统扫描和 /proc 与 /sys 差异分析，检测 hooked syscall、隐藏内核模块和被篡改的系统结构，以识别内核级 rootkit。
SkillDFreshness: D★ 57Claude Code +9
Signals
- Stars
- 57
- Forks
- 14
- Open issues
- 1
- Last commit (this folder)
- Mar 17, 2026 (7 months ago)
From GitHub (fetched Oct 24, 2026).
Details
- License
- Apache-2.0
- First seen
- Oct 24, 2026
- Last checked
- Oct 24, 2026
- Source
- GitHubgithub-graphql
More from killvxk
- 0.512score
analyzing-campaign-attribution-evidence
killvxk
攻击活动溯源归因分析涉及系统性地评估证据，以确定哪个威胁行为者或组织对某次网络行动负责。本技能涵盖使用 Diamond Model 和 ACH（竞争假设分析）收集并加权溯源归因指标、分析基础设施重叠、TTP 一致性、恶意软件代码相似性、操作时序模式和语言痕迹，以构建置信度加权的溯源归因评估。
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-cloud-storage-access-patterns
killvxk
通过分析 CloudTrail Data Events、GCS 审计日志和 Azure Storage Analytics，检测 AWS S3、GCS 和 Azure Blob Storage 中的异常访问模式。识别非工作时间的批量下载、来自新 IP 地址的访问、异常 API 调用（GetObject…
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-azure-activity-logs-for-threats
killvxk
通过 azure-monitor-query 查询 Azure Monitor 活动日志和登录日志，检测可疑管理操作、不可能的地理旅行（Impossible Travel）、权限提升和资源修改。为 Azure 环境的威胁狩猎构建 KQL 查询。适用于调查可疑的 Azure 租户活动或构建云 SIEM 检测规则。
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-bootkit-and-rootkit-samples
killvxk
分析感染主引导记录（MBR）、卷引导记录（VBR）或 UEFI 固件以在操作系统底层获取持久化的 bootkit 和高级 rootkit 恶意软件。 涵盖引导扇区分析、UEFI 模块检查和反 rootkit 检测技术。 适用于 bootkit 分析、MBR 恶意软件调查、UEFI 持久化分析或 OS…
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-api-gateway-access-logs
killvxk
解析 API 网关访问日志（AWS API Gateway、Kong、Nginx），检测 BOLA/IDOR 攻击、速率限制绕过、凭据扫描和注入尝试。使用 pandas 进行请求模式的统计分析和异常检测。适用于调查 API 滥用或构建 API 专项威胁检测规则。
SkillDFreshness: D★ 57Claude Code +9 - 0.512score
analyzing-command-and-control-communication
killvxk
分析恶意软件命令与控制（C2）通信协议，以了解 beacon 模式、命令结构、数据编码和基础设施。 涵盖 HTTP、HTTPS、DNS 和自定义协议 C2 分析，用于检测规则开发和威胁情报。 适用于 C2 分析、beacon 检测、C2 协议逆向工程或命令与控制基础设施绘图相关请求。
SkillDFreshness: D★ 57Claude Code +9
Cite this page
analyzing-cobalt-strike-malleable-profiles skill. Agent Mart. https://agentmart.dev/skills/killvxk-analyzing-cobalt-strike-malleable-profiles (last updated 2026-10-24)