# analyzing-ransomware-network-indicators

Разбирает Zeek conn.log и NetFlow: ищет периодические обращения к C2, связи с TOR-узлами и крупные исходящие потоки.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 311 установок · ★ 35034
- Автор: mahipal
- Лицензия: Apache-2.0 · policy=mirror · лицензия открытая, файл — в исходнике
- Исходник: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/analyzing-ransomware-network-indicators/SKILL.md
- Обновлён: 2026-08-31
- HTML: https://affpapa.org/nevibecode/skills/analyzing-ransomware-network-indicators

## Что делает

Скилл нужен, когда в сети подозревают активность шифровальщика — до шифрования или во время него. Он берёт `conn.log` от Zeek либо выгрузки NetFlow в CSV или JSON и превращает их в структурированный разбор: считает статистику интервалов между соединениями (среднее, стандартное отклонение, коэффициент вариации), чтобы выловить регулярные callback-и на C2, сверяет IP назначения со списком выходных узлов TOR, помечает соединения с нетипично высокой долей исходящих байтов и разбирает DNS на домены, похожие на DGA, и поддомены с высокой энтропией.

Внутри семь шагов: разбор логов, поиск beaconing, проверка TOR, поиск утечки данных, анализ DNS, составление сводной оценки риска и отчёт с таймлайном и привязкой к MITRE ATT&CK. Нужен Python 3.8 или новее со стандартной библиотекой, а список выходных узлов TOR придётся обновлять самому — из Tor Project или фидов threat intel. Список IOC по C2 конкретных семейств шифровальщиков подключается по желанию. Если список TOR устарел, шаг проверки даст ложные срабатывания, так что перед разбором инцидента его стоит пересобрать.

На выходе JSON-отчёт: найденные beaconing с интервальной статистикой, алерты по TOR, разбор потоков утечки и составная оценка риска с маппингом на техники. Это повод не гадать по одному подозрительному IP, а смотреть на картину целиком.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-ransomware-network-indicators -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/analyzing-ransomware-network-indicators/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/analyzing-ransomware-network-indicators/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-ransomware-network-indicators -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/analyzing-ransomware-network-indicators/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-ransomware-network-indicators -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/analyzing-ransomware-network-indicators/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install mukul975/Anthropic-Cybersecurity-Skills analyzing-ransomware-network-indicators
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/analyzing-ransomware-network-indicators/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-ransomware-network-indicators -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/mukul975/Anthropic-Cybersecurity-Skills --path skills/analyzing-ransomware-network-indicators
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/analyzing-ransomware-network-indicators/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-ransomware-network-indicators -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/analyzing-ransomware-network-indicators/SKILL.md

## Когда брать
- найти периодические обращения к C2 в логах соединений
- сверить IP назначения со списком выходных узлов TOR
- отловить крупные исходящие потоки перед шифрованием
- разобрать DNS-запросы на признаки DGA
- собрать отчёт по инциденту с привязкой к MITRE ATT&CK

## Примеры запросов агенту
- Разбери `conn.log` за вчера и покажи соединения с признаками beaconing
- Сверь внешние IP из NetFlow со списком выходных узлов TOR
- Есть подозрение на утечку до шифрования — посмотри исходящие потоки и DNS

## Похожие
- [network-watcher](https://affpapa.org/nevibecode/skills/network-watcher.md) — скилл · 454 установки
- [dt-obs-network-flows](https://affpapa.org/nevibecode/skills/dt-obs-network-flows.md) — скилл · 912 установок
- [Robin: AI-Powered Dark Web OSINT](https://affpapa.org/nevibecode/mcp/robin-ai-powered-dark-web-osint.md) — MCP-сервер · ★ 7658
- [network-protocol-attacks](https://affpapa.org/nevibecode/skills/network-protocol-attacks.md) — скилл · 3600 установок
- [feedback-indicators](https://affpapa.org/nevibecode/skills/feedback-indicators.md) — скилл · 493 установки
- [custom-indicators](https://affpapa.org/nevibecode/skills/custom-indicators.md) — скилл · 454 установки

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md