Escáner de Nube MAPS

Una herramienta de investigación para interactuar con el sistema basado en la nube de MAPS de Windows Defender (Microsoft Active Protection Service) de reputación de archivos y entrega de firmas dinámicas.

MAPS es el backend en la nube que impulsa los veredictos de protección en tiempo real de Defender, la canalización de envío de muestras y la entrega de firmas dinámicas (SDN/DSS). Esta herramienta habla el mismo protocolo Bond CompactBinaryV1 que el cliente de Defender utiliza en la red, permitiendo la interacción directa con los endpoints de MAPS con fines de investigación de seguridad.

Características

• Escaneo de archivos - Enviar archivos a MAPS y recibir veredictos en la nube (limpio, malware, PUA, desconocido)
• Consultas de hash - Consultar la reputación de archivos por SHA-256 sin enviar el archivo
• Reputación de URL - Verificar URLs contra el servicio de reputación en la nube de Defender
• Heartbeat / Conectividad - Probar la conectividad a los endpoints de MAPS
• Análisis local - Analizar metadatos PE, importaciones, secciones y firmas Authenticode sin conexión
• Protocolo Bond - Serializador/deserializador CompactBinaryV1 completo que coincide con el formato de red de Defender
• Inspección de payloads - Construir, decodificar y reproducir payloads Bond sin procesar para investigación de protocolo
• Fuzzing de API - Enumerar endpoints no documentados, campos ocultos, tipos de informes y comportamiento del servidor

Instalación

pip install -r requirements.txt

La única dependencia requerida es requests. Dependencias opcionales para análisis mejorado:

Uso

# Escanear un archivo local
./maps_scanner scan <file>

# Consultar reputación por hash
./maps_scanner scan-hash <sha256>

# Verificación de reputación de URL
./maps_scanner url <url>

# Prueba de conectividad
./maps_scanner heartbeat

# Análisis PE solo local
./maps_scanner analyze <file>

# Construir un payload Bond sin enviar
./maps_scanner build <file>

# Decodificar un binario Bond capturado
./maps_scanner decode <file>

# Reproducir un payload previamente capturado
./maps_scanner replay <file>

# Mostrar o editar configuración
./maps_scanner config

Agregue --json a cualquier comando para obtener resultados legibles por máquina. Use -v para obtener detalles verbosos del protocolo.

Estructura del Proyecto

maps_scanner/
  __init__.py        # Metadatos del paquete
  __main__.py        # Punto de entrada CLI y enrutamiento de comandos
  client.py          # Cliente de protocolo MAPS, configuración y análisis de archivos
  bond.py            # Serializador/deserializador Microsoft Bond CompactBinaryV1
  fuzz_maps.py       # Fuzzer de API para descubrimiento de endpoints y campos
  maps_scanner       # Script envolvente de Python
  requirements.txt   # Dependencias
  docs/              # Documentación del protocolo y resultados de pruebas
  tests/             # Muestras de prueba y utilidades

Documentación

La documentación detallada del protocolo está disponible en docs/:

• MAPS_SCANNER.md - Referencia técnica completa
• MAPS_SAMPLE_IO.md - Ejemplos de payloads de solicitud/respuesta
• MAPS_LIVE_TEST_RESULTS.md - Resultados de pruebas en vivo de endpoints
• maps_protocol_guide.html - Guía visual del protocolo

Descargo de responsabilidad

Esta herramienta se proporciona solo para investigación de seguridad autorizada. Interactúa con servicios activos de Microsoft. Úsela de manera responsable y en cumplimiento con todas las leyes aplicables y los términos de servicio de Microsoft. Los autores no asumen ninguna responsabilidad por el mal uso.

Licencia

Solo para uso autorizado en investigación de seguridad.