用途：分析恶意软件样本中的沙箱逃逸行为，对应 MITRE ATT&CK T1497，帮助研判样本是否在检测分析环境后改变行为以躲避检测。
主要能力：解析 Cuckoo Sandbox 2.0+ 或 AnyRun 的行为报告 JSON；提取时间相关 API 调用序列；通过注册表查询与 WMI 调用识别 VM 痕迹检测（如注册表键、MAC 地址前缀、vmtoolsd.exe 等进程名）；对比请求与实际 sleep 时长以发现 sleep 膨胀；标记用户交互检测（GetCursorPos、GetAsyncKeyState 等模式）；按技术数量与多样性给出逃逸复杂度评分；将检测到的技术映射至 T1497 子技术。
使用方式：需具备 Cuckoo Sandbox 2.0+ 或 AnyRun 账户获取行为报告，Python 3.8+ 及 json 库用于解析，报告以 JSON 格式导出。步骤包括解析报告、提取时间函数 API 序列、识别 VM 痕迹检测、检测 sleep 膨胀、标记用户交互检查、评分并映射 MITRE ATT&CK。
适用场景：恶意样本行为研判、沙箱逃逸检测规则构建、威胁情报分析。
限制：依赖 Cuckoo 或 AnyRun 的行为报告；具体检测规则、代码实现与命令行用法资料暂未提供，需自行结合环境验证。