用途：对可疑二进制、脚本或文档执行五阶段分析流水线——分诊（文件类型、哈希、VirusTotal 查询、YARA）、静态分析（PE/ELF 头、导入表、字符串、加壳检测）、动态分析（沙箱引爆、进程/网络/文件系统监控）、代码分析（反汇编、反编译、算法与 C2 识别）、分类（恶意家族与 MITRE ATT&CK TTP 映射），最终产出含 IOC、检测规则和修复指导的结构化报告。
适用场景：事件响应中分析可疑样本、威胁情报逆向工程、从样本生成 YARA/Sigma/Snort 规则、将未知样本关联到已知家族或 APT 工具集。
依赖：file、sha256sum、md5sum、sha1sum、strings 等 Linux 标准工具；python3 与 yara-python（pip install yara-python）；FLOSS；DIE；ssdeep；oletools（pip install oletools）；Ghidra 或 IDA Pro（可选）；x64dbg（可选）；ANY.RUN 或 Cuckoo 沙箱（可选）；VirusTotal 查询需环境变量 VT_API_KEY。
输入变量：SAMPLE_PATH（样本路径）、VT_API_KEY、YARA_RULES_DIR、SANDBOX_URL。
使用方式：按阶段执行脚本，先做文件识别与哈希计算，再查 VirusTotal、跑 YARA、用 FLOSS 提取字符串、做熵值分析；随后进行 PE/ELF/文档/脚本静态分析；动态阶段可提交沙箱或本地监控（watch、inotifywait、tcpdump、strace）；代码阶段用 Ghidra/IDA 反汇编；最后按 REFERENCE.md 中的脚手架生成 YARA、Sigma、Snort 规则并映射 TTP。
限制：绝不可在生产主机执行不可信样本，须用带快照的专用虚拟机或隔离沙箱；Windows 样本在 Linux 上分析需 Wine + x64dbg 或提交 ANY.RUN；生成的检测规则为脚手架，部署前须复核调优；VirusTotal 免费层限速 4 次/分钟。