用途：在静态或动态恶意软件分析完成后，提取可落地的失陷指标（IOC），用于防火墙、代理、DNS sinkhole 的阻断列表，生成 YARA、Snort/Suricata 或 SIEM 检测内容，并提交至 MISP、OTX、ThreatConnect 等威胁情报共享平台。不适用于未经校验的 IOC 来源，误报可能影响正常业务。
主要能力：文件类 IOC（MD5、SHA-1、SHA-256、ssdeep、imphash、TLSH 及编译时间等元数据）；网络类 IOC（从字符串、PCAP、沙箱报告中提取 IP、域名、URL，并用 tshark 提取 DNS 查询、HTTP host/URI、TLS SNI、JA3、User-Agent、目的 IP）；主机类 IOC（文件路径、注册表键、互斥体、服务）；去毒化（defang）与 VirusTotal 验证；导出 STIX 2.1、CSV 及 YARA 规则。
使用方式：需 Python 3.8+ 及 iocextract、pefile、yara-python 等库，准备分析报告、PCAP/内存转储/沙箱报告、MISP 或 STIX/TAXII 服务器、VirusTotal API key、CyberChef。流程为：计算哈希与文件元数据；从字符串与 PCAP 提取网络指标；从沙箱报告提取主机指标；去毒化并验证；导出标准格式。示例命令：md5sum malware_sample.exe、ssdeep malware_sample.exe、tshark -r capture.pcap -T fields -e dns.qry.name -Y "dns.flags.response == 0" | sort -u。
适用场景：勒索软件事件中快速构建 IOC 包、跨样本关联攻击活动、生成检测规则与情报共享。
限制：打包样本的字符串 IOC 不可靠，需先脱壳；需排除合法 CDN/云服务 IP；报告中的 URL 与 IP 应去毒化；需包含释放文件哈希；未提供具体收费、价格或平台支持信息。