用途：在系统发现勒索软件加密后立即启动取证调查，判定勒索软件家族、追溯从初始访问到加密的完整攻击链、评估加密范围与恢复选项，并整理可用于执法和保险理赔的证据。
主要能力：保全内存与磁盘证据（强调不要重启系统，优先抓取内存，因加密密钥可能仍在内存中）；收集勒索信与加密样本并用文件扩展名比对识别家族，可借助 ID Ransomware、No More Ransom；从勒索信中提取比特币地址、Tor 地址、联系邮箱等 IoC；通过文件时间戳确定加密起止时间，结合 Prefetch、Windows 事件日志（如 4624/4625/4648/4672/4697/4698/4688/1102）重建攻击时间线；排查 RDP 暴力破解、钓鱼附件、PowerShell 执行等初始访问途径；统计加密文件分布、检查卷影副本是否被删、评估备份完整性，并用 Volatility 在内存镜像中搜索 AES/RSA 密钥材料；最后生成包含事件概览、攻击链、IoC、恢复评估和建议的报告。
使用方式：需先准备受影响系统的取证镜像（修复前保全）、关机前内存转储、勒索信与加密样本、攻击期网络流量、Windows 事件日志/Prefetch/注册表以及隔离沙箱。按“保全并识别家族—确定时间线—追溯初始访问与横向移动—评估加密范围与恢复—记录并生成报告”五步执行。
适用场景：RDP 入侵的 LockBit 类攻击、钓鱼引发的勒索、供应链勒索、部分加密后的恢复评估等。
限制：资料未提供具体收费、平台支持范围与效果保证；解密工具是否存在取决于具体家族，部分变种无免费解密方案，内存密钥恢复依赖系统未重启且内存镜像可用。