用途：对已收集的可疑 Windows PE 文件进行静态初筛，在送入沙箱运行前识别导入函数、字符串、资源、打包与混淆迹象，并提取哈希、URL、IP、注册表键等指标，判定样本可能具备的能力。
主要能力：计算 MD5/SHA-1/SHA-256 并查询 VirusTotal；检查文件头、可选头、节表与节熵；分析导入地址表并按进程注入、键盘记录、持久化、反调试、网络、文件操作、加密等类别标记可疑 API；用 strings、FLOSS 提取明文与混淆字符串；检查资源节中的嵌入 PE、高熵数据；用 Detect It Easy 或节名、导入数量判断加壳与保护。
使用方式：需在无生产网络连接的隔离分析机上安装 PEStudio 免费版（https://www.winitor.com/），可选 Python 3.8+ 与 pefile（pip install pefile）、CFF Explorer 或 PE-bear、FLOSS、Detect It Easy、VirusTotal API。流程为：先算哈希核对样本，再检查 PE 结构，随后分析 IAT、提取字符串与资源、判断加壳，最后输出包含威胁评估的结构化报告。必要命令包括 md5sum suspect.exe、sha1sum suspect.exe、sha256sum suspect.exe、strings -a suspect.exe、strings -el suspect.exe、floss suspect.exe --output-json floss_output.json、diec suspect.exe 等。
适用场景：钓鱼邮件附件快速研判、告警样本初筛、决定是否消耗沙箱资源前的能力分类。
限制：不适用于需要运行观察的动态行为分析，应改用沙箱；编译时间戳可被伪造，少数导入不代表性安全；加壳样本需先脱壳才能深入分析；须在隔离环境操作。