IDA Skill
Скилл для разбора вредоносных образцов в IDA Pro: IDAPython, декомпиляция, импорты, строки, адреса C2 и признаки шифрования.
- 239 ★ репозитория
- Последний коммит
- AGPL-3.0
Широкий доступ
Почему такой уровень
- Работа с потенциально вредоносными образцами: открывать их стоит только в изолированной среде
- Агент выполняет произвольный код IDAPython в базе IDA
- REAI отправляет данные функций образца во внешнюю языковую модель
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add skills/ida-skillОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Работа с потенциально вредоносными образцами: открывать их стоит только в изолированной среде
- Агент выполняет произвольный код IDAPython в базе IDA
- REAI отправляет данные функций образца во внешнюю языковую модель
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
IDA Skill учит агента разбирать вредоносные образцы в IDA Pro по методике аналитика безопасности. Скрипт `init_analysis.py` создает базу i64 и сохраняет в файлы сведения об образце, таблицу экспорта, декомпиляцию точки входа, импорты и строки. Дальше агент выполняет фрагменты IDAPython: смотрит декомпиляцию, перекрестные ссылки и обращения к данным. Встроены три инструмента: REAI (языковая модель называет функции и переименовывает их), FindCrypt (константы AES, DES, RC4, Blowfish, TEA, хэши MD5, SHA1, SHA256, Base64, CRC32) и проверка таблицы экспорта DLL. Правило в `SKILL.md`: только статический анализ, образцы не запускают и не отлаживают.
Для кого. Аналитики вредоносного ПО и исследователи с лицензией IDA Pro, которые отдают первичный разбор образцов агенту.
Подходит, если
- Агент ищет адреса C2 и домены в незнакомом образце.
- У DLL проверяют необычные экспортируемые функции.
- Функции образца называют по смыслу: `sub_401000` становится `AI_decrypt_config`.
- В коде образца ищут константы алгоритмов шифрования.
Не подходит, если
- Нет IDA Pro и файла `idat64.exe`.
- Образец требуется запускать или отлаживать: скилл ограничен статическим анализом.
- Политика запрещает отправлять код образца во внешний LLM API, который использует REAI.
- Работа коммерческая: README запрещает коммерческое использование.
Пример запроса к агенту
Проанализируй образец `sample.dll` статически: подготовь базу, найди адреса C2 и признаки шифрования, составь отчет.Ограничения
Нужны лицензия IDA Pro и путь к `idat64.exe` в `config.json`: в примере README указана IDA Pro 9.0 на Windows. REAI отправляет данные функций в языковую модель, ключ и адрес API задают в `tools/reai.py`. README разрешает только учебные и исследовательские цели и запрещает коммерческое использование (заявлена GPL-3.0, GitHub показывает AGPL-3.0), для коммерции нужно разрешение автора. Файл `strings_use_subagent_to_analyse.txt` содержит тысячи строк: читать его советуют через субагента.
Как отключить. Удалите папку скилла из каталога скиллов агента. Базы i64 и отчеты анализа удаляют отдельно, ключ API из `tools/reai.py` стирают вручную.
Частые вопросы
Нужно ли знать IDAPython?
Нет. Агент читает `SKILL.md` и сам использует IDAPython, задачу формулируют обычным языком.
Запускает ли скилл образцы?
Нет. В `SKILL.md` записано: только статический анализ, отладка и выполнение бинарных файлов запрещены.
Куда уходят данные REAI?
В языковую модель по адресу из `tools/reai.py`: поддерживаются OpenAI, Azure, DeepSeek и локальные модели. С локальной моделью код образца остается на машине.
Можно ли использовать скилл на работе?
README разрешает только учебные и исследовательские цели и запрещает коммерческое использование. Для коммерции нужно разрешение автора.
Что скилл сохраняет при первичном анализе?
Три файла: `analysis.txt` со сведениями об образце, экспортами и декомпиляцией точки входа, `imports.txt` с импортами и файл со строками, разбитыми по кодировкам.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
СкиллыMCP-сервер, который связывает IDA Pro с агентом: чтение декомпиляции, переименование и типизация, комментарии и запуск IDAPython прямо в базе
122 скилла для обратной разработки: вредоносные программы, прошивки, протоколы, мобильные приложения, CTF и поиск уязвимостей.
Набор скиллов для реверс-инжиниринга: восстановление символов и структур, скрипты Frida, IDAPython, дамп DEX и IL2CPP, эмуляция кода в Unicorn
MCP-сервер для IDA Pro с несколькими headless-сессиями idalib: агент открывает бинарники, держит базы изолированно и работает по ключу доступа
Сканер безопасности для скиллов агентов: ищет промпт-инъекции, утечку данных и вредоносный код перед установкой
Скилл для Claude Code распаковывает IPA, находит API-эндпоинты, секреты и уязвимости, разбирает бинарные файлы Mach-O.
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| IDA Skill (эта карточка) | нет | 239 | ||
| IDA Pro MCP | нет | не нужна | 13 379 | связывает IDA Pro с агентом через MCP: чтение декомпиляции и правка базы; здесь готовая методика разбора вредоносных образцов и скрипты первичной обработки |
| Hex-Rays IDA MCP | да | не нужна | 1 544 | официальный MCP-сервер Hex-Rays для баз IDA; здесь скилл со статической методикой и FindCrypt |
Коротко о README
Три шага: путь к `idat64.exe` в `config.json`, папка скилла в каталоге скиллов, затем задача агенту. Отдельно описаны REAI с настройкой модели, FindCrypt и проверка таблицы экспорта.
Бейдж для README
Исходный SKILL.md
--- name: IDA-Skill description: IDA Pro 逆向分析。通过 IDAPython 脚本获取反汇编、反编译、字符串、导入表、交叉引用等信息。 ---