CheckPlz

CheckPlz es una adaptación en Rust de las populares herramientas ThreatCheck y GoCheck, diseñada para escanear archivos en busca de posibles amenazas mientras aprovecha AMSI (Interfaz de análisis antimalware) y Windows Defender. Al aislar el contenido malicioso con precisión y proporcionar un análisis exhaustivo, CheckPlz ofrece una experiencia de escaneo de archivos mejorada y eficiente.

Características principales

• Integración con AMSI: Realice escaneos precisos de búfer para la detección de amenazas.
• Aislamiento de amenazas mediante búsqueda binaria: Localice con precisión la sección de un archivo que causa la detección.
• Análisis de volcado hexadecimal: Visualice el contenido malicioso con un volcado hexadecimal y ASCII detallado.
• Soporte de depuración: Habilite la salida detallada para obtener información más profunda.
• Salida personalizable: Elija entre salidas de terminal sin formato o coloridas y fáciles de leer.

Cómo funciona

1. Escaneo con AMSI:

   • Inicializa un contexto de AMSI.
   • Escanea el contenido del archivo y los búferes en busca de amenazas.
   • Si se detecta una amenaza, realiza una búsqueda binaria para aislar el segmento malicioso.

2. Escaneo con Windows Defender:

   • Invoca MpCmdRun.exe para escanear el archivo.
   • Analiza la salida para detectar amenazas.
   • Realiza una búsqueda binaria si se encuentra una amenaza.

3. Búsqueda binaria:

   • Escanea recursivamente segmentos del archivo para localizar contenido malicioso.
   • Produce registros y resultados detallados.

Instalación

1. Clone el repositorio:
   root@kitploit:~

   git clone https://github.com/your-username/CheckPlz.git
   cd CheckPlz
   

2. Compile el proyecto:
   root@kitploit:~

   cargo build --release
   

3. El ejecutable estará disponible en target/release/checkplz.exe.

Instrucciones de uso

Ejecute CheckPlz con las opciones deseadas:

Usage: CheckPlz.exe [OPTIONS] --file <FILE>

Options:
  -f, --file <FILE>  Path to the file to scan
  -d, --debug        Enable debug mode
  -a, --amsi         Use AMSI scan
  -m, --msdefender   Use Windows Defender scan
  -r, --raw          Raw output without ANSI colors
  -h, --help         Print help
  -V, --version      Print version

Comandos de ejemplo

• Escanee un archivo usando AMSI:

  root@kitploit:~

  checkplz --file malicious.exe --amsi
  

• Escanee un archivo con Windows Defender:

  root@kitploit:~

  checkplz --file suspicious.exe --msdefender
  

• Realice un escaneo usando tanto AMSI como Windows Defender con la salida de depuración habilitada:

  root@kitploit:~

  checkplz --file unknown.exe --amsi --msdefender --debug
  

• Realice un escaneo con salida sin formato:

  root@kitploit:~

  checkplz --file unknown.exe --amsi --raw
  

Resumen de salida

• Resultados del escaneo: Muestra el estado de detección, los desplazamientos maliciosos potenciales y el tiempo empleado en el escaneo.
• Análisis de volcado hexadecimal: Vistas detalladas de las secciones sospechosas, resaltando los bytes maliciosos.