用途：分析勒索软件样本是否包含终止开关（kill switch），并在端点侧部署主动防御与检测。适用场景包括样本分析、事件响应中判断能否通过激活终止开关阻止加密、以及构建检测签名。
主要能力：识别五类终止开关——互斥体（最常见，如 WannaCry 的 Global\MsWinZonesCacheCounterMutexA、Conti 的 kasKDJSAFJauisiudUASIIQWUA82）、域名（如 WannaCry v1 的 iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com）、注册表、文件标记、系统语言/键盘布局。支持互斥体疫苗（预先创建同名互斥体阻止执行）、Sysmon 事件监控（Event ID 1、17/18）、DNS 监控终止开关域名解析、以及事件响应中枚举活动互斥体。
使用方式：需 Python 3.8+ 与 ctypes（Windows）、配置 Sysmon、恶意软件沙箱、DNS 监控能力，并参考已知勒索软件互斥体数据库（github.com/albertzsigovits/malware-mutex）。互斥体疫苗可用 ctypes 调用 CreateMutexW 创建，例如： import ctypes kernel32 = ctypes.WinDLL('kernel32', use_last_error=True) handle = kernel32.CreateMutexW(None, False, name) 错误码 183 表示 ERROR_ALREADY_EXISTS。枚举可用 handle.exe -a -p <PID> | findstr "Mutant"，或 Velociraptor 的 Windows.Detection.Mutants。
限制：终止开关疫苗不能作为主要防御，并非所有家族都有终止开关，新版本可能移除；疫苗在重启后失效，需通过计划任务重新应用；需验证不与使用相似互斥体名的合法应用冲突。