技能介绍

要解决什么问题

在事件响应或样本研判里，你往往需要查 VirusTotal 上文件、URL、域名或 IP 的检测报告、关联对象和社区投票。直接对接官方 API 意味着要在本机保存 API Key、自己拼请求体，还要对照文档确认每个端点的入参字段。若团队已通过 OOMOL 统一管理连接器凭据，更合理的方式是让代理用 oo CLI 走已连接的 VirusTotal 连接器，而不是在对话里反复粘贴密钥。

技能如何工作

本技能面向已安装 oo CLI、已登录 OOMOL 且完成 VirusTotal 连接的环境。执行动作前应先 oo connector schema 查看当前 action 的权威入参/出参，再按 schema 构造 --data（JSON 字符串或 @file.json）。响应形如 { "data": ..., "meta": { "executionId": "..." } }，执行 ID 在 meta.executionId。

核心能力覆盖 16 个 action，可按场景选用：

只读研判：get_file_report、get_url_report、get_domain_report、get_ip_address_report、get_analysis、search、get_metadata 等
关系展开：get_domain_relationships、get_ip_address_relationships（可选仅 descriptors）
提交分析：upload_file、scan_url、rescan_file
社区互动：get_comments / get_votes、add_comment、add_vote（会改变 VT 侧状态）

文档要求：认证或连接未就绪时不要主动跑登录流程；仅在命令因鉴权/连接失败时再按 SKILL 做一次性配置。读操作可直接执行；创建、更新、发帖类 action 必须先与用户确认 payload 与影响。

适用边界与注意点

依赖 OOMOL 侧 VirusTotal 连接与计费；若出现 HTTP 402 / OOMOLINSUFFICIENTCREDIT，需在 OOMOL 控制台充值后再试。
大文件上传会走连接器的大文件上传路径，但仍受 VirusTotal 配额与策略约束。
本技能是 oo connector 的操作说明与动作索引，不能替代你对检出结果与误报的业务判断；破坏性或不可逆操作（若有）需显式获批后再执行。

截图预览

使用场景

EDR 告警带出文件哈希时，用 `get_file_report` 查看多引擎检出与社区投票，再决定是否隔离主机。
钓鱼邮件中的可疑链接需在投产沙箱前核对声誉，通过 `get_url_report` 或 `scan_url` 获取最新 URL 分析。
锁定攻击域名后要做 IOC 扩展，调用 `get_domain_relationships`（可选仅 descriptors）快速拉关联对象清单。
内网捕获样本尚未在 VT 留档时，用 `upload_file` 提交扫描，再以 `get_analysis` 按分析 ID 跟进结果。

适合人员

值守告警的 SOC 分析师，希望在研判对话里直接拉 VT 报告，而不在本机维护 VirusTotal API Key。
处理钓鱼与入侵线索的事件响应工程师，需要对照 URL、域名、IP 的 VT 报告与 `search` 结果做快速定性。
做家族与基础设施关联的威胁情报研究员，依赖 relationship 与 metadata 接口补充图谱与可用关系类型。
已在团队内采用 OOMOL 统一连接器凭据的安全自动化工程师，需按 `oo connector schema` 稳定构造各 action 的 JSON payload。