ATool 系统安全内核分析工具是安天实验室发布的一款系统安全内核分析和 RootKit 检测工具，可分析系统内核模块、驱动、服务、进程端口等关键信息，对目标对象进行安全检查和可信验证。工具长期以免费的方式在互联网提供下载，目前更新至 ATool 3.5.2.6 版本，新增 MCP 管理、进程树与启动项树视图、重构文件管理、支持 JSON/JSON Lines/CSV 导出，并修复导出全部崩溃、钩子显示及修复、界面响应与稳定性等多项问题，UI 优化，Logo 由蓝色 T 字镐调整为红色，可维护性进一步提升，加强对 Windows 10 及 Windows 11 版本的支持，即使未安装终端防护软件，也可利用此工具进行系统威胁发现。

软件功能

• 进程分析：查看系统中运行的进程、线程、模块、句柄，识别可疑进程与注入行为。
• 启动项管理：检查注册表、计划任务、服务、驱动等自启动位置，发现恶意持久化。
• 内核与驱动：枚举系统内核模块、驱动程序，对未签名或可疑驱动进行高亮。
• 服务与端口：查看系统服务状态、网络连接与开放端口，定位异常通信。
• 文件与注册表：提供文件校验、注册表浏览与编辑能力，辅助威胁处置。
• 系统信息检查：对系统共享、账户、补丁、安全策略等进行检查和修复。
• RootKit 检测：通过内核级对比与交叉验证，发现隐藏进程、隐藏服务、HOOK 等 RootKit 行为。

新版变化

https://vs.antiy.cn/tool/atool.html
3.5.2.6
本次更新主要内容：
1. 修复自启动项注册表值枚举传入空输出参数导致的访问异常，确保 HKLM/HKCU Run、RunOnce 等位置能够正常读取。
2. 支持自启动注册表值的动态缓冲区扩容，并区分正常枚举结束与真实 Win32 错误。
3. 将单个注册表键的枚举异常隔离为部分结果，记录根键、路径、索引和错误码，不影响后续自启动位置扫描。
4. 将信誉引擎最大文件检测限制调整为 2 GiB 以下的有符号 32 位安全上限，避免配置值溢出。
5. 导出采用多线程，缓存证书校验情况。