用途：作为恶意软件分析的编排入口，把样本分析拆成默认沙箱前置、静态初勘、行为分析、C2/协议分析、IOC与报告等步骤，并按分析目标选择子技能。
主要能力：默认先建沙箱（VM快照优先于容器、firejail），做网络隔离（INetSim、fake DNS或断网），快照就绪后再传样本；静态初勘用file、hash、熵、strings确认真实类型与架构，熵大于7.0先怀疑加壳或加密；行为分析在沙箱内观察进程树与注入、持久化、文件与注册表、网络连接并映射ATT&CK；C2/协议环节捕获回连流量、重建协议状态机、识别并解密通信加密；最后提取IOC（hash、域名、IP、路径、互斥体）、编写YARA规则并按摘要、行为、证据、IOC、结论结构产出报告。每步结果需存档证据路径与sha256。
使用方式：按目标分支选择路径。行为判定走沙箱、行为分析、协议分析、IOC；配置提取可静态优先，加壳先转反分析，配置在内存则用内存转储；家族识别用哈希与字符串比对已知库并写YARA验证；静态逻辑深挖转二进制核心域；勒索、加载器、无文件、钓鱼附件、样本采集等分别转对应子技能。
限制与注意：动态分析默认先建沙箱是最高原则，跳过沙箱直接运行会污染环境并破坏证据；高熵样本未确认加壳就做行为分析，观察到的可能只是壳的行为；行为结果不留日志或hash会导致报告不可复现；沙箱网络未隔离就跑样本可能产生真实外联。具体子技能实现与平台细节暂未提供。