ProcIR Windows应急响应工具：一键扫描进程、持久化与内存威胁，支持GUI/CLI双模式与YARA规则

ProcIR 是一款非常驻、非 Agent、纯本地的 Windows 应急响应排查工具，专为安全工程师设计。在应急响应任务中，上机后需在最短时间内明确系统状态：哪些进程可疑？是否存在持久化后门？是否有白加黑或 DLL 劫持？历史执行痕迹如何？攻击链是怎样的？ProcIR 将这些疑问转化为自动化扫描，一次操作即可全维度分析，按风险排序，直接指示关注点。 工具核心理念是“只做发现和研判辅助，不做查杀”。它替代了传统手动运行 tasklist、netstat、autoruns、schtasks 等命令逐个比对的繁琐流程，大幅节省时间与人力。ProcIR 单文件运行，仅 11MB，无需安装，无外部依赖，纯 Go 实现（无 CGO），拷贝即用。扫描完成后自动退出，对业务零影响。 ProcIR 提供双模式操作：内嵌 Web UI（GUI）适合交互式分析，纯命令行模式（CLI）适用于自动化脚本或无桌面环境。它涵盖 13 个分析视图，从执行态、触发态、历史态、事件态、模块态、内容态、内存态到 IOC 监控，覆盖攻击生命周期全阶段。支持自定义 YARA 规则扫描，并集成 MiniMax（中文）与 Claude（英文）大模型进行 AI 智能分析。所有 UI 和后端输出均支持中英文双语切换。扫描结果可导出为 JSON 或 CSV，便于进一步处理与报告。 适用场景包括：安全团队快速响应入侵事件、红队演练后痕迹清理、IT 管理员调查潜在威胁、需要自动化生成报告的情况，以及结合 YARA 规则进行定制化威胁狩猎。通过融合引擎将多源数据统一为 ExecutionObject 模型，实现多维叠加评分、行为链识别、时间线还原和 IOC 自动提取，为研判提供全面依据。