用途：检测攻击者利用 Windows 启动文件夹实现持久化的行为（MITRE ATT&CK T1547.001）。位于 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup 或 C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup 的文件会在用户登录时自动执行，本技能用于发现此类植入。
主要能力：枚举用户与系统启动目录中的所有文件；分析文件类型、创建时间与数字签名；标记可疑扩展名（.bat、.vbs、.ps1、.lnk、.exe）；识别近期创建（少于 7 天）的文件；使用 watchdog 的 FileSystemEventHandler 实时监控启动文件夹；与已知合法启动项交叉比对；生成带 T1547.001 MITRE 映射的威胁狩猎报告。
使用方式：需 Python 3.9+，安装 watchdog，pefile 为可选（用于 PE 分析）；需能访问 Windows 用户与全局启动文件夹；可选使用 Windows 事件日志 Event ID 4663 进行关联。步骤包括枚举文件、分析元数据、标记可疑项、实时监控、关联合法条目并输出报告。
适用场景：安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析师结构化分析流程、验证相关攻击技术的监控覆盖。
限制：资料未提供具体命令、完整代码示例、收费与价格信息；pefile 与事件日志关联均为可选，实际效果取决于环境配置。