用途：该技能针对 MITRE ATT&CK T1497（沙箱规避），从 Cuckoo Sandbox 与 AnyRun 的行为报告中识别规避指标，帮助事件调查、威胁狩猎规则构建和监控覆盖验证。
主要能力：分析计时类检查（GetTickCount、QueryPerformanceCounter、睡眠膨胀）、VM/hypervisor 痕迹（注册表键、MAC 地址前缀、vmtoolsd.exe 等进程名）、用户交互检查（鼠标移动、键盘输入）以及环境指纹（磁盘大小、CPU 核数、内存）。检测规则会标记存在这些行为的样本供人工深入分析。
使用方式：需具备 Cuckoo Sandbox 2.0+ 或 AnyRun 账户，Python 3.8+ 及 json 库，导出的 JSON 格式行为报告。步骤为解析报告 JSON、提取计时相关 API 调用序列、识别注册表与 WMI 的 VM 痕迹检测、对比请求与实际睡眠时长判断睡眠膨胀、标记 GetCursorPos 与 GetAsyncKeyState 等用户交互检查、按技术数量与多样性评分规避复杂度、将技术映射到 T1497 子技术。
输出：JSON 报告，列出检测到的规避技术、MITRE ATT&CK 映射、API 调用证据、规避复杂度评分及规避类别分类（计时、VM 检测、用户交互、环境指纹）。
限制：需已有行为分析报告作为输入；具体评分阈值、规则细节和完整代码示例资料未提供。