# Qu1cksc0pe 恶意软件分析工具 > 一体化恶意软件初筛工具，可对 Windows PE、Linux ELF（含 Go 二进制）、macOS Mach-O 和 Android APK、JAR、DEX 文件，以及 Office 与 PDF 文档、脚本、快捷方式、压缩包、电子邮件和 PCAP 做静态分析，报告导入表与 API 分类、节区、字符串与 IOC、加壳器、内嵌可执行文件、Android 权限风险和 YARA 匹配，并为 Windows 与 Linux 程序给出 MITRE ATT&CK 映射。VBA/VBScript、JavaScript 和 PowerShell 交由有界的内存内模拟器处理，而不会真正执行；--watch 模式可监视 Windows、Linux 和 Android 上运行中的进程。分析功能可通过命令行、Flask 网页界面和 MCP 服务器调用，还可选择用大语言模型总结 JSON 报告。 - 类型：工具 - 目标：应用 · 二进制 - 类别：原生分析工具 - 关联：基础工具 - 来源复核于：2026-10-27 - 收录于：2026-11-03 - 原始资源： - 一手来源： - 目录页面： - 记录 JSON： - 英文版：[English](https://awesomerea.org/resources/qu1cksc0pe/index.md) ## 使用条件与局限 - 项目在 master 分支上持续开发，没有标签或 GitHub 发布版本；所审提交（2026-09-18）新增了实时内存 YARA/IOC 扫描、Windows 注入与镂空检测，并扩展了 Android 动态分析。README 推荐 Parrot OS、Kali Linux 或 Windows 10/11；Mach-O 和 Go 二进制仅支持静态分析。 - README 要求克隆仓库、在 Python 虚拟环境中运行 setup.sh（适用于 apt-get 或 pacman 系统），Windows 上则运行 setup.ps1。安装脚本会安装 requirements.txt，其中固定 androguard 3.4.0a1、yara-python 4.5.0 和 unicorn 2.1.4，并包含 lief、pefile、oletools、frida-tools、docker、flask 和 mcp>=2.0.0；另外还会安装 adb、binutils 的 strings、unzip、7-Zip、安装在用户主目录下 sc0pe_Base 文件夹中的 JADX 1.5.3，以及 Ollama 和配置中的模型。基于 Ubuntu 22.04 的 Dockerfile 可对挂载的文件运行命令行。哈希扫描会从独立的 CYB3RMX/MalwareHashDB 仓库下载 HashDB SQLite 数据库，VirusTotal 查询需要使用者自己的 API 密钥。 - 输入是分析者自己的可疑文件。仓库附带检测数据，包括约 300 个 YARA 规则文件、Android Frida 脚本以及 API 与 ATT&CK 映射表，另附一份 dnlib 3.6.0 .NET 库（Systems/Windows/dnlib.dll，来自开源的 de4dot 项目），所审脚本均未按名称引用它；仓库不含恶意软件样本。静态分析和脚本模拟器不会运行样本，但 Linux 二进制模拟会在禁用网络的 Docker 容器中用 qemu-user 运行样本，没有 Docker 时退回到宿主机上的 qemu；--watch 模式则附加到宿主机或所连 Android 设备上的运行中进程。只应在隔离的分析机器上处理样本。 - --ai 默认把报告交给 Ollama；随附的 multiple.conf 指定带 cloud 标记的 kimi-k2.5:cloud 模型，setup.ps1 为此建议执行 ollama signin；Claude、OpenAI、DeepSeek、Kimi 和 GLM 后端需通过 --ai_provider 主动选择，此时报告数据会离开本机。MCP 服务器（--mcp）默认通过 127.0.0.1:8765 上的 streamable HTTP 提供 14 个工具，也可用 stdio；随附的 .mcp.json 会为 Claude Code 注册该服务器。家族候选、模拟轨迹和 AI 总结都属于启发式结果，需要分析者复核。 - GPL-3.0 许可。 ## 一手来源 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. ## 同分区更多条目：原生二进制 - [AppMon 基于 Frida 的应用 API 监控框架](https://awesomerea.org/zh/resources/appmon/index.md) · 工具 - [Yagi：IDA 中的 Ghidra 反编译器](https://awesomerea.org/zh/resources/yagi-ghidra-decompiler-for-ida/index.md) · 工具 - [frida-scripts（0xdea）Frida 移动应用与 Linux 追踪脚本集](https://awesomerea.org/zh/resources/raptor-frida-scripts/index.md) · 工具 - [System Informer 进程与系统检查工具](https://awesomerea.org/zh/resources/system-informer/index.md) · 工具 - [CyberChef 数据解码与分析工具](https://awesomerea.org/zh/resources/cyberchef/index.md) · 工具 - [YARA 文件模式匹配与分类工具](https://awesomerea.org/zh/resources/yara/index.md) · 工具 ## 关于此条目 说明已依据一手来源复核。 原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。