用途：面向已确认的勒索样本，做加密识别、勒索信解析与解密恢复路线评估。样本未确认是勒索时先做初勘与行为确认；只分析加密算法本身则走加密识别/密钥类技能。
主要能力：判断扩展名批量变化、文件头改写、熵升高等加密信号；识别对称、非对称或混合加密方案；还原密钥的本地硬编码、内存或C2下发路径；解析勒索信中的邮箱、URL、钱包地址与感染ID；给出有密钥解密脚本、部分加密截头恢复、社区解密工具或快照回滚等恢复思路。
使用方式：静态优先，先在宿主机做哈希存证、file/xxd 头部观察与勒索信枚举，例如 sha256sum、file、xxd -l 64、find 查找 README/DECRYPT/RECOVER。需要动态运行时必须在沙箱快照内，并配合文件系统快照工具：Linux 用 snapper，Windows 用 vssadmin，macOS 用 tmutil。家族识别可上传勒索信或文件头到 ID Ransomware，解密器查询 No More Ransom。
适用场景：受害者文件被加密、出现勒索信、需判断能否恢复并给出证据链的应急分析。
限制：运行样本会真实加密文件，必须沙箱快照与蜜罐隔离；无私钥的混合加密通常不可恢复；RaaS 变体差异大，须以手头样本实测为准；社区解密工具存在时效性，需精确匹配变体。