用途：区分“意外缺陷”与“有意植入的恶意代码”，在文本源码、依赖、构建脚本、仓库本地自动化与二进制制品中寻找故意隐藏的恶意构造。
主要能力：扫描混淆特征（base64/hex/unicode 长串、解码后执行、字符重排、自定义移位、同形字标识符）；源码中的网络指标（硬编码 IP、Webhook/粘贴外泄端点、DNS 外泄形状、关闭 TLS 校验）；行为组合（凭据采集叠加外发、剪贴板/钥匙串访问、定时回连、上传源码内容的遥测）；应用后门（隐藏路由、魔法参数/头令牌、时间炸弹、环境开关休眠分支、默认凭据回退）；仓库本地植入（.git/hooks、.vscode/tasks.json/launch.json、.idea、CI 中 curl | sh）；生态安装/编译期执行面（npm 生命周期脚本、Python setup.py、Rust build.rs 与 proc-macro）；无来源的 vendored 二进制与 LFS 指针造假。
使用方式：按模块给出的检查清单和 ripgrep 兼容正则逐项排查；每条发现需附带 file:line 证据，并分为 Benign-explained / Suspicious-needs-human / Likely-malicious-evidence 三类；任何疑似恶意制品在移除前必须先保留原件与 SHA-256，模块本身从不自动删除。
适用场景：依赖审计、补丁与 lockfile 变更复核、构建脚本审查、CI 与 IDE 自动化检查、二进制制品来源核验。
限制：本模块为纯静态分析，动态引爆（沙箱、网络模拟）属于另一个动态分析分类，不在范围内；依赖版本/漏洞卫生、锁文件漂移、CI 工作流注入机制、TLS/证书配置质量、凭据存储卫生等均有独立模块，此处仅交叉引用。严重程度采用“信任影响”分类，不计算 CVSS 分数、向量或环境指标。资料未提供安装命令与具体价格信息。