Expand offline review checks and fix relative output finalization

FILESYSTEM_COVERAGE.txt

@@ -32,5 +32,21 @@ Prüfkontext, nicht automatisch eine veröffentlichte kampagnenspezifische IOC.
 Die neuen Regeln ersetzen keine vollständige Datenflussanalyse einer Webshell.
 404 und fehlende temporäre Dateien sind keine sicheren Misserfolgsbeweise.
 
-149 automatisierte Tests bestanden. Dies bestätigt die dokumentierte Funktion,
+152 automatisierte Tests bestanden. Dies bestätigt die dokumentierte Funktion,
 keine universelle Erkennungsrate oder vollständige Unversehrtheit.
+
+
+Ergänzung: Zehn weitere Sigma-Prüfungen und elf Inhaltsprüfungen im
+Dateisystemmodus ergänzen die bisherige Abdeckung. Neu geprüft werden unter
+anderem kommentierte Apache-Schutzdirektiven, Startup-Python, Core-Löschbefehle,
+ungewöhnliche ACS-/WS-Federation-Felder sowie erfasste Prozess-/Open-File-Listen.
+PHP/XHTML in Webverzeichnissen und SIG/DEB-Kandidaten werden als Namenshinweis
+markiert. Bekannte admin_ui-Verzeichnisse und PHP unter gui/websocketd sind von
+der pauschalen Namensprüfung ausgenommen, nicht von Inhalts- oder Hashprüfungen.
+BLX-Konfiguration /etc/blx/nshttpd.conf wird ebenfalls erfasst.
+
+Byte-Anomalien werden in Originalbytes geprüft; UTF-8-Ersatzzeichen in Logs
+sind nur ein zusätzlicher Suchhinweis. HTTP-Fehlermuster gelten im Dateisystemmodus
+nur für httperror-Dateien, nicht für Binärpakete mit ähnlichen Textfragmenten.
+Private Suchindikatoren bleiben separat. Die Existenz eines Indikators in einer
+zugelieferten Liste ist kein unabhängig bestätigter Malware- oder C2-Nachweis.