用途：用于调查疑似无文件恶意软件或内存威胁、EDR 告警进程注入或可疑内存操作后、在失陷环境中狩猎防御规避技术、威胁情报提示活跃活动使用进程镂空时，以及紫队演练验证 T1055.012 检测覆盖。
主要能力：理解进程镂空机制（创建挂起合法进程、解除其内存映射、写入恶意代码、恢复执行）；监控以 CREATE_SUSPENDED 标志创建后伴随内存写入与线程恢复的进程；检测内存镜像与磁盘二进制不一致的节异常；分析父子进程树，标记行为与二进制名称不符的进程；校验进程完整性；关联网络活动发现 C2 连接；记录并遏制。
关键概念：T1055.012 进程镂空、T1055 进程注入、T1055.001 DLL 注入、T1055.003 线程执行劫持、T1055.004 异步过程调用、CREATE_SUSPENDED、NtUnmapViewOfSection、WriteProcessMemory、ResumeThread、镜像不匹配、Process Doppelganging（T1055.013）。
前置条件：具备内存保护监控的 EDR（CrowdStrike、MDE、SentinelOne）；启用 Sysmon 事件 ID 1、8、25；Windows ETW 提供程序（Microsoft-Windows-Kernel-Process）；内存取证能力（Volatility、WinDbg）；进程完整性监控工具。
工具：CrowdStrike Falcon、Microsoft Defender for Endpoint、Sysmon v13+、Volatility（malfind 插件）、pe-sieve、Hollows Hunter、Process Hacker、API Monitor。
常见场景：svchost.exe 被镂空注入后门；explorer.exe 被镂空继承网络权限与可信上下文；rundll32.exe 被替换为植入代码用于 C2 信标；多阶段镂空先镂空再向服务注入。
输出格式：Hunt ID、Technique、Hollowed Process、Original Binary、Parent Process、Memory Mismatch、Suspicious APIs、Network Activity、Host、User、Risk Level。
限制：资料未提供具体检测规则、命令示例、误报率或平台兼容性细节。