# malware-analysis-dragonflyTomb-avast

Скилл для анализа репозиториев, которые выдают себя за установщики антивируса. Помогает отличить подделку от настоящего дистрибутива.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 1000 установок · ★ 12
- Автор: reason-machines
- Лицензия: LicenseRef-Unknown · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/reason-machines/security-skills/tree/HEAD/skills/malware-analysis-dragonflyTomb-avast/SKILL.md
- Обновлён: 2026-10-09
- HTML: https://affpapa.org/nevibecode/skills/malware-analysis-dragonflytomb-avast

## Что делает

Скилл разбирает репозиторий DragonflyTomb/Avast-Premium-Security-2026 и показывает, почему он не является официальным дистрибутивом Avast Premium Security. Внутри — чек-лист красных флагов: слова вроде «Keygen», «Pre-Activated», «Loader», «Serial» в названии, отсутствие README, лицензия NOASSERTION для коммерческого софта, тема «retdec» рядом с антивирусом. Отдельно разбирается накрутка звёзд и метка версии «2026».

Дальше идёт набор приёмов статического анализа. По исходникам скилл советует искать подозрительные импорты (`syscall`, `unsafe`, `os/exec`, `net/http`, `crypto/aes`), признаки обфускации (`base64`, XOR, decode) и механизмы закрепления в системе — реестр, автозагрузку, планировщик задач. Есть пример кода на Go, который считает SHA-256 файла и помечает подозрительные файлы в каталоге.

Для разбора нужна изоляция: скилл предлагает запускать контейнер с отключённой сетью (`docker run -it --rm --network none golang:1.21`) и клонировать репозиторий туда, не выполняя его. Отправка файла в VirusTotal требует переменной окружения `VIRUSTOTAL_API_KEY` — без неё пример кода вернёт ошибку. Если вы просто откроете подозрительный репозиторий в рабочей системе и запустите сборку, вы потеряете ту самую изоляцию, ради которой всё затевалось.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill malware-analysis-dragonflytomb-avast -a claude-code
```
```bash
npx skills add reason-machines/security-skills --skill malware-analysis-dragonflyTomb-avast -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/malware-analysis-dragonflyTomb-avast/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/malware-analysis-dragonflyTomb-avast/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill malware-analysis-dragonflyTomb-avast -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/malware-analysis-dragonflyTomb-avast/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill malware-analysis-dragonflyTomb-avast -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/malware-analysis-dragonflyTomb-avast/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install reason-machines/security-skills malware-analysis-dragonflyTomb-avast
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/malware-analysis-dragonflyTomb-avast/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill malware-analysis-dragonflyTomb-avast -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/reason-machines/security-skills --path skills/malware-analysis-dragonflyTomb-avast
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/malware-analysis-dragonflyTomb-avast/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add reason-machines/security-skills --skill malware-analysis-dragonflyTomb-avast -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/reason-machines/security-skills/tree/HEAD/skills/malware-analysis-dragonflyTomb-avast/SKILL.md

## Когда брать
- отличить фейковый установщик антивируса от официального дистрибутива
- найти признаки обфускации в исходниках на Go
- проверить импорты на `os/exec` и `net/http` перед сборкой
- посчитать SHA-256 файла и зафиксировать хеш для отчёта
- подготовить изолированное окружение для разбора вредоносного репозитория

## Примеры запросов агенту
- проанализируй этот подозрительный репозиторий с установщиком avast
- проверь, легитимный ли это репозиторий с security-софтом
- найди индикаторы malware в этом Go-коде

## Похожие
- [analyzing-packed-malware-with-upx-unpacker](https://affpapa.org/nevibecode/skills/analyzing-packed-malware-with-upx-unpacker.md) — скилл · 303 установки
- [analyzing-linux-elf-malware](https://affpapa.org/nevibecode/skills/analyzing-linux-elf-malware.md) — скилл · 457 установок
- [deep-analysis](https://affpapa.org/nevibecode/skills/deep-analysis.md) — скилл · 516 установок
- [ctf-rev](https://affpapa.org/nevibecode/skills/ctf-rev.md) — скилл · 321 установка
- [variant-analysis](https://affpapa.org/nevibecode/skills/variant-analysis.md) — скилл · 6400 установок
- [constant-time-analysis](https://affpapa.org/nevibecode/skills/constant-time-analysis.md) — скилл · 5400 установок

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md