用途：在发现系统被勒索软件加密后立即开展取证调查，保全证据、识别变种、还原攻击链，并评估解密与恢复可能性，同时为执法与保险索赔留存证据。
主要能力：保全运行中系统的内存（Windows 用 DumpIt.exe，Linux 用 sudo insmod lime.ko "path=/evidence/memory.lime format=lime"），收集勒索信与加密文件样本；依据扩展名、勒索信内容识别变种，并提取比特币地址、Tor 地址、联系邮箱等 IoC；通过文件时间戳确定加密起止时间，结合 Prefetch、Windows 事件日志（如 4624、4625、4648、4672、4697、4698、4688、1102）重建时间线；排查 RDP 暴力破解、钓鱼下载、PowerShell 执行等初始访问与横向移动痕迹；统计加密范围，检查卷影副本是否被删、备份完整性，并尝试从内存转储中恢复 AES/RSA 密钥。
使用方式：先保全内存与磁盘镜像，再收集勒索信和样本，随后用 ID Ransomware、No More Ransom 等工具识别变种并查询解密工具；用 Volatility、Chainsaw/Hayabusa、PECmd、YARA、Capa 及在线沙箱辅助分析；最后按模板生成包含事件概述、初始访问、攻击链、IoC、恢复评估与建议的报告。
适用场景：RDP 入侵、钓鱼触发、供应链攻击、部分加密后的恢复评估等勒索软件事件。
限制：需在隔离沙箱中分析恶意样本；解密工具可用性取决于具体变种，部分变种无免费解密方案；内存密钥恢复需在关机前完成，系统重启后通常无法恢复；资料未提供具体收费、平台或效果信息。