用途：对可疑样本与工件进行防御性逆向分析，聚焦行为、指标、检测、遏制与清除，而非攻击能力开发。
安全边界：将样本视为敌意对象，使用隔离实验室、快照，禁用共享剪贴板，不挂载个人目录，并控制网络。不提供恶意软件改进、持久化、隐蔽、规避、凭据窃取或部署指导。
工作流：1) 记录样本元数据，包括文件名、哈希、大小、类型、来源、时间戳与处理备注；2) 静态分诊，查看字符串、导入表、节区、加壳线索、脚本/宏、配置块与可疑能力；3) 在受控条件下规划动态分析，如虚拟机快照、伪造服务、监控文件系统/注册表/进程/网络活动；4) 按能力归纳行为，如执行、持久化、权限、防御规避、发现、C2、收集、外传；5) 产出 IOC、检测逻辑思路、修复步骤与置信度。
输出格式：摘要说明工件疑似行为；证据列出字符串、API、路径、域名、互斥体、命令或观测事件；IOC 包含哈希、文件名、注册表键、网络指标与注意事项；检测部分在适用时给出 YARA/Sigma/EDR 狩猎思路；响应部分涵盖遏制、清除、恢复与监控。
适用场景：安全团队的防御性分诊、事件响应与检测工程。限制：仅限防御用途，具体工具、平台与安装方式资料未提供。