ATool

软件简介

ATool 系统安全内核分析工具是安天实验室发布的一款系统安全内核分析和 RootKit 检测工具，可分析系统内核模块、驱动、服务、进程端口等关键信息，对目标对象进行安全检查和可信验证。工具长期以免费的方式在互联网提供下载，目前更新至 ATool 3.5.2.1 版本，新增 MCP 管理、进程树与启动项树视图、重构文件管理、支持 JSON/JSON Lines/CSV 导出，并修复导出全部崩溃、钩子显示及修复、界面响应与稳定性等多项问题，UI 优化，Logo 由蓝色 T 字镐调整为红色，可维护性进一步提升，加强对 Windows 10 及 Windows 11 版本的支持，即使未安装终端防护软件，也可利用此工具进行系统威胁发现。

主要功能

• 进程分析：查看系统中运行的进程、线程、模块、句柄，识别可疑进程与注入行为。
• 启动项管理：检查注册表、计划任务、服务、驱动等自启动位置，发现恶意持久化。
• 内核与驱动：枚举系统内核模块、驱动程序，对未签名或可疑驱动进行高亮。
• 服务与端口：查看系统服务状态、网络连接与开放端口，定位异常通信。
• 文件与注册表：提供文件校验、注册表浏览与编辑能力，辅助威胁处置。
• 系统信息检查：对系统共享、账户、补丁、安全策略等进行检查和修复。
• RootKit 检测：通过内核级对比与交叉验证，发现隐藏进程、隐藏服务、HOOK 等 RootKit 行为。

适用场景

• 主机异常排查与应急响应；
• RootKit、木马、后门等威胁的深入分析；
• 系统安全基线检查与加固；
• 无终端防护环境下的系统威胁发现。

使用手册

一、运行环境

• 操作系统：Windows 7 / 8 / 10 / 11（x86 / x64）；
• 建议以管理员权限运行，以获取完整的内核、驱动与服务信息；
• 无需安装，解压后即可运行 ATool.exe。

二、主界面与功能模块

ATool 主界面按功能分为多个标签页，常用模块包括：

三、快速排查流程

1. 查看进程：打开“进程”标签，按公司名、路径、签名排序，重点关注无签名、路径异常或数字签名无效的进程。
2. 检查启动项：打开“启动项”标签，查看是否有未知程序被设置为开机自启。
3. 检查服务与驱动：打开“服务”和“驱动”标签，排查未签名或路径可疑的服务与驱动。
4. 查看网络连接：打开“端口”标签，定位异常外联进程。
5. RootKit 检测：使用内核相关功能，对比用户态与内核态信息，发现被隐藏的进程、端口或模块。
6. 处置与修复：对确认的恶意文件，使用“文件”模块强制删除；对异常启动项、服务进行清理。

四、注意事项

• 修改内核、服务、注册表等操作可能影响系统稳定性，请在明确操作后果后再执行；
• 删除文件前建议先进行哈希校验与样本备份，避免误删系统文件；
• 在关键业务主机上使用前，建议在测试环境验证操作流程。

工具历史

历史版本更新