Release v0.1.8 修正了下载文件所报告的版本号（v0.1.7 发布时报告的版本是 0.1.6），并在单文件构建中拒绝将网络路径传给 --iocs/--json。可选的 Candiru 模式仍需固定版本的 YARA-X 引擎；参见模式验证。默认检查仍然只依赖标准库。

一个本地、只读的扫描器，用于检查计算机上是否存在 AdFection / Candiru 间谍软件活动的痕迹——在该行动中，一家广告技术公司利用实时广告竞价向目标人群投递零点击间谍软件。已在 CI 中于 Windows、macOS 和 Linux（Python 3.8–3.12）上测试。

它会搜索机器自身的残留记录——浏览器历史、cookie、缓存和连接记录、文件指纹、自启动注册项、已知恶意软件文件路径以及 DNS 解析器缓存——以查找已公布的威胁指标，并报告发现了什么、证据强度如何，以及同样重要的是，它无法检查什么。

干净的结果并不等于健康证明。这一级别的间谍软件正是为了挫败此类检查而构建的，它留下的大部分证据会在数周内过期，而且除非有人主动开启，Windows 不会记录 DNS 历史。此工具缩小不确定性，但并不消除它。如果你有真实理由相信自己是被针对的目标，正确的做法是寻求专家帮助——Access Now 数字安全求助热线或 Amnesty International 安全实验室——而不是使用自助脚本。

投递载体滥用了实时广告竞价。请保持操作系统和浏览器更新，通过广告过滤减少暴露面，并在适当情况下调查残留痕迹。此工具检查这些痕迹；它不能替代更新，也不能证明设备是安全的。

area what it reads Browser history、cookie（仅主机名和时间戳）、favicon、HTTP 缓存、Local/Session Storage、Service Worker 缓存以及 HSTS/连接记录——覆盖 Chrome、Edge、Brave、Vivaldi、Chromium 和 Firefox，针对受支持位置中发现的配置文件 Files 对用户可写位置（间谍软件投放文件的位置）下的候选文件计算 SHA-256，并与已知样本哈希比对——以及刻意单独处理的、该行为者滥用的一款合法签名驱动的哈希，后者作为线索而非证据报告 Host (Windows) 每用户 COM 注册（该活动有记录的持久化方式）、DNS 解析器缓存、DNS 历史记录是否已启用、hosts 文件，以及已知固定路径的驱动投放（例如 HW.sys 易受攻击驱动）

每个匹配都会进行证据分级，因为工件本身决定其含义。Cookie 元数据和存储的连接记录可以支持“接触”发现，但不能确认感染或解释该记录是如何产生的。一个域名仅仅出现在缓存的网页中，可能只是一个保存的引用，例如一篇关于该活动的文章。该工具区分保存的引用与连接证据，以便每个发现都能结合上下文进行解读。

family browsers profile locations checked Chromium Chrome、Edge、Brave、Vivaldi、Chromium Windows %LOCALAPPDATA%\<vendor>\User Data；macOS ~/Library/Application Support/<vendor>；Linux ~/.config/<vendor> 以及 snap 和 Flatpak 位置 Firefox Firefox 标准配置文件和缓存目录

Vivaldi 路径：%LOCALAPPDATA%\Vivaldi\User Data（Windows）、/Library/Application Support/Vivaldi（macOS）、/.config/vivaldi、~/.config/vivaldi-snapshot 以及 Flatpak com.vivaldi.Vivaldi 配置（Linux）。其他基于 Chromium 的浏览器（Opera、Arc 等）尚未扫描。不支持的浏览器和自定义配置文件位置不会被检查，也可能不会出现在报告中；无匹配结果不覆盖它们。扫描前请关闭浏览器，以免其数据库被锁定。

发布说明：Vivaldi 支持包含在 v0.1.2 中。更早的下载不包含它。请根据每个版本自身的签名和校验和进行验证。

默认检查需要 Python 3.8 或更高版本，无需管理员权限，也无需额外安装包。

单文件（最简单）：下载 zero-breach.py，使用发布校验和验证它，然后在下载文件夹中打开终端。在 Windows 上使用 python；在 macOS 或 Linux 上，在以下命令中用 python3 代替 python。

python -X utf8 zero-breach.py # full scan python -X utf8 zero-breach.py --quick # faster; skips file fingerprinting python -X utf8 zero-breach.py --json report.json

可选的 Candiru 文件模式：从与扫描器相同的发布版本下载 requirements-patterns.txt。此模式需要 Python 3.9 或更高版本。在包含两个下载文件的文件夹中，创建一个单独的 Python 环境并安装哈希固定的 YARA-X wheel：

Windows PowerShell

python -m venv .venv .venv\Scripts\python.exe -m pip install -r requirements-patterns.txt .venv\Scripts\python.exe -X utf8 zero-breach.py --patterns

macOS / Linux

python3 -m venv .venv .venv/bin/python -m pip install -r requirements-patterns.txt .venv/bin/python -X utf8 zero-breach.py --patterns

--pattern-path ABSOLUTE_PATH 将此额外文件检查限制为选定的本地文件或文件夹；可以重复使用。常规的浏览器、哈希和主机检查保持其通常范围。模式匹配是调查线索，不是活动性感染的证据。无匹配结果不能排除 Candiru 或其他间谍软件。在没有 --pattern-path 的情况下，可选检查首先检查由每用户 Windows COM 注册指定的最多 128 个安全本地文件，然后是其通常的文件根目录。COM 注册本身不是间谍软件发现。这两条已发布规则仅适用于小于约 1 MB 的文件，因此更大的文件仍在其检测范围之外。

在 Windows 上，DNS 历史检查最多读取最新保留的 50,000 个事件。如果仍有更早的保留记录，报告会将历史标记为部分而非完整。这不会开启日志记录，也不会恢复从未记录的事件。

python -X utf8 scan/adint-scan.py

该扫描不更改任何系统设置，也不需要管理员权限。它不会有意发起网络请求或进行指标查询。重定向路径和 Windows

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）