多来源交叉查看
整合 Prefetch、UserAssist、BAM、PCA 和已有的进程事件；Shimcache、Amcache 等辅助记录单独标明含义。
WINDOWS 本地复核工具 V0.3.0
让运行痕迹
有迹可循。
读取电脑中仍保留的程序运行记录，把分散的线索整理成可以逐项核对的报告。
KillCheater 提供复核线索，不自动认定作弊。扫描在本机进行，报告由你主动导出。
LOCAL ANALYSIS +
Prefetch01
UserAssist02
BAM03
事件日志04
THE TRACE
READ ONLY /// EVIDENCE FIRST
01 / 只读采集
02 / 来源可追溯
03 / 结果供人工复核
04 / 本地生成报告
WHAT IT DOES / 01
把零散记录，
整理成可读的线索。
无需提前准备外挂样本。应用会说明每项线索来自哪里、为什么被标记，以及该来源的读取状态。
看到标记背后的原因
按程序、路径、来源与标记筛选。每项标记都带有原因和对应证据，便于人工核对。
报告留在你手中
手动导出可搜索的 HTML 报告与完整 JSON。默认保存在本机文档目录，分享前请检查其中的路径和用户信息。
安装并开始检查
运行 Windows 安装包。打开应用后点击“开始检查”，界面会显示当前权限、采集来源与进度。
逐条查看线索
用筛选器找到需要复核的程序，打开详情查看原始来源、保留时间、标记原因和记录指纹。
按需导出报告
选择“导出易读报告”，将 HTML 与 JSON 保存到你指定的位置。扫描结果默认只保留在应用内存中。
KNOW THE LIMITS / 03
读懂记录，
也读懂它的边界。
历史记录会受到系统设置、保留期限和访问权限影响。未发现记录，不等于程序从未运行。
线索不是结论
可疑名称、异常路径和进程行为都需要结合上下文核查；合法软件也可能触发提示。
来源有覆盖范围
部分系统日志只有事先启用审计或部署 Sysmon 才会存在。应用会显示各来源的读取状态。
权限影响读取
普通权限下可以读取部分来源。遇到权限不足时，可由电脑所有者以管理员身份重新运行。
KillCheater_0.3.0_x64-setup.exe版本 0.3.0 · 约 2.31 MB
此版本安装包未进行代码签名。Windows 可能显示“未知发布者”或 SmartScreen 提示，请确认下载来源后再决定是否安装。
FAQ / 05
常见问题。
需要联网或登录才能扫描吗？
不需要。检查在本机进行；报告仅在你主动导出时写入本地文件。
为什么有些来源显示“权限不足”？
Windows 对部分系统文件、注册表和事件日志设置了访问限制。请在获得电脑所有者同意后，以管理员身份运行，再查看来源状态。
没有被标记的程序就一定安全吗？
不能这样判断。未标记只表示没有触发当前版本的分析条件；历史记录也不一定完整。
下载后出现“未知发布者”怎么办？
当前安装包未进行代码签名，因此 Windows 可能显示提示。请确认下载来源，并自行决定是否继续安装。