用途：在确认恶意软件感染且已完成遏制与取证分析后，系统化清除攻击者留下的恶意文件、后门与持久化机制，恢复系统干净状态。
主要能力：覆盖 Windows 与 Linux 的持久化位置排查，包括注册表 Run/RunOnce 键、计划任务、WMI 事件订阅、服务、cron、init.d、systemd、rc.local、shell 配置文件与 SSH 授权密钥；使用 Autoruns、YARA、ClamAV、EDR 等工具识别恶意工件；删除恶意文件、任务、WMI 订阅、注册表项与服务；重置被攻陷账户密码、KRBTGT 密码、服务账户密码、Azure AD 令牌与 API 密钥；修补初始入侵漏洞；最后通过全盘扫描、持久化复查、可疑进程与网络连接检查、YARA 复扫验证清除效果。
使用方式：按工作流分步执行。先枚举持久化位置，例如 autorunsc.exe -accepteula -a * -c -h -s -v > autoruns_report.csv、schtasks /query /fo CSV /v、Get-WMIObject -Namespace root\Subscription -Class __EventFilter；再用 yara -r -s malware_rules/specific_family.yar C:\ 扫描；随后删除工件，如 schtasks /delete /tn "MaliciousTaskName" /f、reg delete、sc stop/sc delete、crontab -r、sed -i '/malicious_key/d' ~/.ssh/authorized_keys；接着重置凭据并打补丁，最后验证。
适用场景：RAT 多重持久化、IIS/Apache 网站 Web Shell、内核级 Rootkit、无文件恶意软件、Active Directory 沦陷（后门账户与黄金票据）等。
限制：需先完成取证分析与遏制，保留网络隔离；删除前应完成取证镜像；Rootkit 等场景可能需从可信介质重装系统；具体命令与工具可用性依赖实际环境，资料未提供价格、平台支持范围或效果保证。