malware-check؛ ابزار متنباز تحلیل ایستا و پویا برای شکار کد مخرب
پایتونخلاصهٔ کاملتر
malware-check یه ابزار متنباز با مجوز MIT است که کارش تشخیص کد مخرب، باینری مشکوک و نقض حریم خصوصیست. دامنه ورودیهاش نسبتاً وسیعه: سورسکد، فایل اجرایی ویندوز و لینوکس و مک، باندلهای .app و .dmg، و اپهای موبایل .apk و .ipa. برای نصب هم به پایتون ۳.۱۰ به بالا احتیاج داره و از طریق pip یا pipx نصب میشه.
سمت تحلیل ایستا، اسکنر سورس در بیش از ۱۵ زبان دنبال الگوهایی مثل ریورسشل، بکدور، وبشل، پیلود مبهمسازیشده، ماینر رمزارز، الگوهای باجافزار، کیلاگر و مکانیزمهای ماندگاری میگرده. آنالایزر باینری هم فرمتهای PE و Mach-O و ELF رو با تشخیص آنتروپی، بازرسی جدول ایمپورت، استخراج رشته و بررسی امضای کد وارسی میکنه. یه موتور YARA با قواعد آماده و پشتیبانی از قواعد سفارشی هم داخلشه.
بخش تحلیل پویا سراغ اجرای واقعی فایل تو یه کانتینر داکر ایزوله میره: ردیابی سیسکال با strace، پایش شبکه با tcpdump، و رصد فایلسیستم و پروسهها. ایزولاسیون بهصورت پیشفرض بدون شبکه، با محدودیت ۵۱۲ مگابایت حافظه، یک هسته پردازنده، فایلسیستم فقطخواندنی و حذف همه قابلیتها تنظیم شده. خروجی رفتاری چیزهایی مثل تشخیص پورت C2، تغییر انبوه فایلها (نشانه باجافزار) و ضدِ دیباگ رو بیرون میده.
استفاده پایهاش سادهست و همین باعث میشه بهراحتی تو خط لوله بشینه:
malware-check scan target/ --format sarif -o results.sarif --exit-codeخروجی SARIF 2.1.0 مستقیم به GitHub Code Scanning، Azure DevOps و GitLab SAST وصل میشه و سوییچ خروج با کد غیرصفر اجازه میده بهعنوان دروازه CI عمل کنه. کنارش گزارش کنسول رنگی، JSON ماشینخوان و داشبورد HTML هم هست.
مستندات پروژه پوشش تشخیص رو به تکنیکهای MITRE ATT&CK نگاشت کرده — از مفسر فرمان و وبشل تا رمزگذاری داده برای تخریب و ربایش منابع. یه نکته جالب هم اینه که پروژه خودش رو بهشکل اسکیل برای ایجنتهای کدنویسی هم عرضه کرده تا بشه مستقیم ازش خواست یه فایل رو بررسی کنه.
نکات کلیدی:
- ابزار متنباز پایتونی با مجوز MIT برای تحلیل ایستا و پویا
- پشتیبانی از سورس، باینریهای PE/Mach-O/ELF، باندل مک و اپ موبایل
- سندباکس داکر با ایزولاسیون شبکه، محدودیت منابع و فایلسیستم فقطخواندنی
- خروجی SARIF برای اتصال مستقیم به GitHub Code Scanning و دیگر ابزارهای SAST
- نگاشت تشخیصها به تکنیکهای MITRE ATT&CK
