软件简介：
ATool 系统安全内核分析工具是安天实验室发布的一款系统安全内核分析和 RootKit 检测工具，可分析系统内核模块、驱动、服务、进程端口等关键信息，对目标对象进行安全检查和可信验证。工具长期以免费的方式在互联网提供下载，目前更新至 ATool 3.5.2.6 版本，新增 MCP 管理、进程树与启动项树视图、重构文件管理、支持 JSON/JSON Lines/CSV 导出，并修复导出全部崩溃、钩子显示及修复、界面响应与稳定性等多项问题，UI 优化，Logo 由蓝色 T 字镐调整为红色，可维护性进一步提升，加强对 Windows 10 及 Windows 11 版本的支持，即使未安装终端防护软件，也可利用此工具进行系统威胁发现。
软件信息
| 版本号 | 3.5.2.6 |
|---|---|
| 运行平台 | Windows |
| 授权方式 | 免费 |
| 软件分类 | 工具软件 |
| 更新时间 | 2026-10-06 |
主要功能：
进程分析：查看系统中运行的进程、线程、模块、句柄，识别可疑进程与注入行为。
启动项管理：检查注册表、计划任务、服务、驱动等自启动位置，发现恶意持久化。
内核与驱动：枚举系统内核模块、驱动程序，对未签名或可疑驱动进行高亮。
服务与端口：查看系统服务状态、网络连接与开放端口，定位异常通信。
文件与注册表：提供文件校验、注册表浏览与编辑能力，辅助威胁处置。
系统信息检查：对系统共享、账户、补丁、安全策略等进行检查和修复。
RootKit 检测：通过内核级对比与交叉验证，发现隐藏进程、隐藏服务、HOOK 等 RootKit 行为。
适用场景：
主机异常排查与应急响应；
RootKit、木马、后门等威胁的深入分析；
系统安全基线检查与加固；
无终端防护环境下的系统威胁发现。
界面与功能模块：
| 模块 | 用途 |
|---|---|
| 进程 | 查看运行进程、结束进程、查看进程模块与线程 |
| 启动项 | 检查注册表 Run 键、计划任务、启动文件夹等 |
| 服务 | 查看系统服务、驱动服务，可启动/停止/删除服务 |
| 驱动 | 枚举内核驱动模块，检查签名与路径 |
| 端口 | 查看网络连接、监听端口、对应进程 |
| 内核 | 查看 SSDT、Shadow SSDT、IDT 等内核信息 |
| 文件 | 文件浏览、强制删除、校验哈希 |
| 注册表 | 注册表浏览、编辑、导出 |
| 系统信息 | 查看共享、账户、补丁、安全策略等 |
运行环境：
操作系统：Windows 7 / 8 / 10 / 11（x86 / x64）；
建议以管理员权限运行，以获取完整的内核、驱动与服务信息；
无需安装，解压后即可运行 ATool.exe。
更新日志：
版本号：3.5.2.6
本次更新主要内容：
1. 修复自启动项注册表值枚举传入空输出参数导致的访问异常，确保 HKLM/HKCU Run、RunOnce 等位置能够正常读取。
2. 支持自启动注册表值的动态缓冲区扩容，并区分正常枚举结束与真实 Win32 错误。
3. 将单个注册表键的枚举异常隔离为部分结果，记录根键、路径、索引和错误码，不影响后续自启动位置扫描。
4. 将信誉引擎最大文件检测限制调整为 2 GiB 以下的有符号 32 位安全上限，避免配置值溢出。
5. 导出采用多线程，缓存证书校验情况。
软件官网：点击浏览
下载地址：
软件截图：
