# analyzing-bootkit-and-rootkit-samples

Анализирует bootkit и rootkit в MBR, VBR и UEFI. Нужен при признаках заражения, которые сохраняются после переустановки ОС.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 486 установок · ★ 35034
- Автор: mahipal
- Лицензия: Apache-2.0 · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/analyzing-bootkit-and-rootkit-samples/SKILL.md
- Обновлён: 2026-08-31
- HTML: https://affpapa.org/nevibecode/skills/analyzing-bootkit-and-rootkit-samples

## Что делает

Скилл задаёт порядок офлайн-проверки загрузочных секторов и прошивки. Он предлагает снять MBR, VBR, первый трек диска и UEFI, разобрать 16-битный код, проверить сигнатуру MBR и таблицу разделов. Для прошивки предусмотрены извлечение модулей, проверка Secure Boot и SPI-защиты, а также поиск по YARA-правилам.

Отдельный блок посвящён артефактам rootkit в памяти: перехватам SSDT и IDT, скрытым процессам, обратным вызовам ядра, драйверам и модулям. Затем скилл ведёт к проверке подписей компонентов цепочки загрузки, включая `bootmgfw.efi`, `winload.efi` и `ntoskrnl.exe`.

Понадобятся `dd` или FTK Imager, UEFITool, `chipsec`, Ghidra с поддержкой x86 real mode, Volatility 3 и загрузочный Linux USB. Это высокий порог входа: без образов диска или памяти часть сценариев не выполнить.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-bootkit-and-rootkit-samples -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/analyzing-bootkit-and-rootkit-samples/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/analyzing-bootkit-and-rootkit-samples/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-bootkit-and-rootkit-samples -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/analyzing-bootkit-and-rootkit-samples/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-bootkit-and-rootkit-samples -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/analyzing-bootkit-and-rootkit-samples/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install mukul975/Anthropic-Cybersecurity-Skills analyzing-bootkit-and-rootkit-samples
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/analyzing-bootkit-and-rootkit-samples/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-bootkit-and-rootkit-samples -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/mukul975/Anthropic-Cybersecurity-Skills --path skills/analyzing-bootkit-and-rootkit-samples
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/analyzing-bootkit-and-rootkit-samples/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-bootkit-and-rootkit-samples -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/analyzing-bootkit-and-rootkit-samples/SKILL.md

## Когда брать
- снять MBR, VBR и первый трек диска для офлайн-проверки
- найти изменения в загрузочном секторе
- извлечь модули из UEFI-прошивки
- сопоставить скрытые процессы в дампе памяти
- проверить целостность цепочки загрузки Windows

## Примеры запросов агенту
- Проверь `mbr.bin` на признаки bootkit и разберись с таблицей разделов.
- Проанализируй `firmware.rom`: извлеки UEFI-модули и проверь Secure Boot.
- Сравни результаты `windows.psscan` и `windows.pslist` в `memory.dmp` для поиска скрытых процессов.

## Похожие
- [memory-forensics-volatility](https://affpapa.org/nevibecode/skills/memory-forensics-volatility.md) — скилл · 3600 установок
- [memory-forensics](https://affpapa.org/nevibecode/skills/memory-forensics.md) — скилл · 11027 установок
- [ctf-forensics](https://affpapa.org/nevibecode/skills/ctf-forensics.md) — скилл · 9100 установок
- [ctf-malware](https://affpapa.org/nevibecode/skills/ctf-malware.md) — скилл · 8700 установок
- [report-malicious-repository](https://affpapa.org/nevibecode/skills/report-malicious-repository.md) — скилл · 1100 установок
- [avast-security-awareness](https://affpapa.org/nevibecode/skills/avast-security-awareness.md) — скилл · 1100 установок

Из того же набора: [mukul975/anthropic-cybersecurity-skills](https://affpapa.org/nevibecode/by/mukul975/anthropic-cybersecurity-skills.md) — 89 карточек

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md