用途：对 PE 可执行文件和可疑文件执行专业恶意软件分析工作流，输出带证据与推理的威胁报告，而非原始数据堆砌。触发场景包括上传文件并提出“analyze this malware”等分析请求。
主要能力：通过脚本收集原始数据，包括哈希、PE 信息、字符串、API、熵值等静态分析结果；查询 MalwareBazaar、ThreatFox、URLhaus、VirusTotal、AbuseIPDB 等来源进行威胁情报比对；提取网络与主机 IOC，如 IP、域名、URL、邮箱、哈希、注册表键、文件路径、加密钱包、互斥体。随后进行行为分析（API 到行为的映射、加壳判断、反分析技术）、能力评估、风险评级，并映射 MITRE ATT&CK，最终生成结构化报告，含执行摘要、情报评估、行为分析、IOC、风险与建议。
使用方式： 静态分析：python3 scripts/static_analysis.py /path/to/sample -f json > static.json 威胁情报：python3 scripts/triage.py -t file /path/to/sample -f json > triage.json IOC 提取：python3 scripts/extract_iocs.py /path/to/sample -f json > iocs.json 检查 API 配置：python3 scripts/triage.py --status
适用场景：安全事件响应、样本研判、威胁情报关联、恶意软件家族归因与检测规则制定。
限制：资料未提供具体安装步骤、依赖环境、收费方式与平台支持范围；分析结论依赖所收集证据，加壳样本的静态发现可能仅代表解壳存根，需动态分析才能确认真实功能。