用途：针对 Windows 服务安装进行威胁狩猎，识别攻击者利用恶意服务实现持久化与提权（MITRE ATT&CK T1543.003）。适用于安全事件调查、构建检测规则或狩猎查询、SOC 分析流程，以及验证相关攻击技术的监控覆盖。
主要能力：解析 System 事件日志 Event ID 7045（新服务安装）中的 .evtx 文件，提取服务名称、二进制路径、服务类型与账户；标记可疑二进制路径（临时目录、PowerShell、cmd.exe、编码命令）；检测基于 PowerShell 的服务创建模式；识别以 LocalSystem 运行且路径异常的服务；与已知合法服务基线交叉比对；输出映射 MITRE ATT&CK T1543.003 的狩猎报告。
使用方式：需 Python 3.9+ 及 python-evtx、lxml 库，提供 Windows System 事件日志 .evtx 文件；可选访问实时 System 日志进行监控，可选 Sysmon 日志增强进程跟踪。步骤为先解析 System.evtx 中的 Event ID 7045，再提取并标记可疑路径与服务账户，随后检测 PowerShell 创建模式、识别 LocalSystem 异常路径，最后交叉比对并生成报告。
预期输出：JSON 报告，列出所有新服务安装及其风险评分、可疑指标与修复建议，并附服务安装事件时间线与二进制路径分析。
限制：资料未提供具体命令行示例、定价、平台支持范围或检测准确率等信息。