威胁情报查询与关联

何时使用 / 何时不用

• 用：拿到样本 hash / 域名 / IP 要查已知恶意背景（"这个样本是什么""哪个家族"）；沙箱报告解读；家族/团伙关联；MISP 事件关联；情报进报告
• 用：分析完成后用情报验证结论（[[re-malware]] / [[re-forensics]] 的线索需要外部佐证）
• 不用：只想跑行为分析——那走 [[re-sandbox]] / [[re-behavior]]，沙箱查询只是情报手段之一
• 不用：纯离线环境无外网（只能做静态本地匹配）；VT 无结果≠干净（见坑 1）

工具准备

本技能以查询/解读为主，不运行样本；上传到沙箱的动态执行须在 [[re-sandbox]] 内（默认沙箱最高原则，见 [[re-analyze/platform-tips]]）。

VirusTotal（核心查询，网页 + API）

• 网页: https://www.virustotal.com/ —— 查 hash/域名/IP，无安装
• API key: https://www.virustotal.com/gui/my-apikey 生成；存环境变量 VT_API_KEY（export VT_API_KEY=...，Windows 用 setx）
• 验证: [ -n "$VT_API_KEY" ] && echo ok；带 key 请求返回 JSON（401/403 说明 key 无效或配额用完）
• 隐私注意：查私有样本前确认数据策略——VT 是共享情报，上传会向第三方公开，内部样本先问归属/权限（见坑 2）