win-def-clickfix 是一个针对 ClickFix / Win+R 命令行的检测复刻工具，通过逆向工程 Microsoft Defender 的 mpengine.dll 重建而成。
它将命令行通过恢复出的规范化/反混淆函数（FUN_1800a2500）进行处理，并与 807 条从 VDM 提取的 CMDHSTR_EXT 签名进行匹配，使用其真实的 condition: 逻辑进行评估。
它还附带提取出的 BMClientV1 神经网络——一个有状态的 GRU——以纯 numpy 执行，同时包含针对引擎其他已恢复路径的扫描器（AMSI、AMSI-UAC、RPF/JIT、WMI、脚本宿主、粘贴混淆）。
