malware-check

Instalación - Uso - Análisis Dinámico - Reglas YARA - CI/CD

Documentación: Inglés | Tiếng Việt

---

Herramienta de análisis estático y dinámico para detectar código malicioso, binarios sospechosos y violaciones de privacidad. Analiza código fuente, ejecutables compilados (.exe, .dll, .elf), paquetes macOS (.app, .dmg, .pkg), aplicaciones móviles (.apk, .ipa) y paquetes de aplicación con reglas YARA, sandboxing conductual con Docker, análisis móvil MobSF, desofuscación de payloads e informes en múltiples formatos (JSON, HTML, SARIF).

Características

Análisis Estático

• Escáner de Código Fuente - Detecta shells inversos, puertas traseras, webshells, payloads ofuscados, mineros de criptomonedas, patrones de ransomware, keyloggers, robo de credenciales, ataques a la cadena de suministro y mecanismos de persistencia en más de 15 lenguajes
• Analizador de Binarios - Análisis de PE (Windows), Mach-O (macOS) y ELF (Linux) con detección de entropía, inspección de tabla de importaciones, extracción de cadenas, verificación de firma de código y detección de secciones RWX
• Detección de Tipo de Archivo con IA - Integración opcional con Magika para detección basada en contenido de archivos sin extensión o disfrazados
• Motor YARA - Escaneo basado en firmas con reglas incluidas para familias de malware, packers y patrones sospechosos. Soporta directorios de reglas personalizadas
• Analizador de Privacidad - Detecta SDKs de seguimiento, manejo de campos de PII, permisos invasivos (manifiestos Android/iOS), huellas digitales de dispositivo, monitoreo del portapapeles y transmisión no autorizada de datos

Análisis Dinámico (Sandbox Docker)

• Ejecuta binarios sospechosos en un contenedor Docker aislado con:
  • rastreo de syscalls mediante strace (llamadas de red, archivo, proceso)
  • monitoreo de red mediante tcpdump (consultas DNS, solicitudes HTTP, conexiones C2)
  • monitoreo del sistema de archivos (creación, modificación, eliminación de archivos)
  • monitoreo de procesos (creación de procesos hijos, intentos de inyección)
• Aislamiento completo: sin red (por defecto), límite de memoria, capacidades eliminadas, rootfs de solo lectura
• Hallazgos conductuales: detección de puertos C2, modificación masiva de archivos (ransomware), acceso a archivos sensibles, anti-depuración

Informes

• Consola - Salida de terminal enriquecida con tablas codificadas por severidad y hallazgos detallados
• JSON - Hallazgos legibles por máquina para pipelines de automatización
• HTML - Panel profesional con tema oscuro, barras de severidad, detalles de hallazgos y evidencia
• SARIF 2.1.0 - Integración directa con GitHub Code Scanning, Azure DevOps y GitLab SAST

Cobertura

Categoría	Ejemplos de Detección
Shells Inversos	Python socket+subprocess, bash /dev/tcp, netcat, PowerShell TCPClient, socat
Puertas Traseras	Webshells (PHP/JSP/ASP.NET), inyección de comandos (Python/JS/Java/Ruby/Go/C), bind shells, rutas ocultas, carga remota de código, creación de usuarios, SSTI, deserialización insegura
Ofuscación	Cadenas Base64+eval, construcción con códigos de caracteres, payloads hexadecimales, importaciones dinámicas
Mineros de Criptomonedas	Conexiones a pools Stratum, APIs de minería, direcciones de billetera (BTC/ETH/XMR)
Ransomware	Recorridos de cifrado de archivos, mensajes de rescate, patrones de cifrado+renombrado
Robo de Credenciales	Secretos hardcodeados, robo del portapapeles, recolección de variables de entorno, archivos de credenciales del navegador
Cadena de Suministro	Hooks sospechosos de instalación npm/pip, confusión de dependencias, registros personalizados
Persistencia	Creación de cron/schtasks, claves Registry Run, LaunchAgent/Daemon, manipulación de SUID
Escalada de Privilegios	Manipulación del bit SUID, setuid(0), chown root
Anti-Análisis	Detección de depurador, detección de VM, callbacks TLS, uso de ptrace
Keyloggers	GetAsyncKeyState, SetWindowsHookEx, pynput, CGEventTapCreate
Privacidad	SDKs de seguimiento (40+), campos PII (SSN, tarjetas de crédito, datos biométricos, salud), permisos invasivos, huellas digitales de dispositivo
Indicadores de Binarios	Binarios empaquetados (UPX, alta entropía), secciones RWX, importaciones sospechosas, código sin firmar/alterado

Instalación

Requisitos Previos

• Python 3.10+
• pip o pipx

Instalación Rápida (pip)

pip install malware-check

Instalación Rápida (pipx) - recomendado para uso en CLI

pipx install malware-check

Desde Código Fuente

git clone https://github.com/momenbasel/malware-check.git
cd malware-check
pip install -e ".[dev]"

Esto instala el CLI principal. El análisis de binarios mediante pefile/lief, la detección de archivos con IA mediante magika y el escaneo YARA mediante yara-python son extras opcionales.

Instalación Completa (todos los analizadores)

# Núcleo + análisis de binarios + detección de archivos con IA + YARA
pip install malware-check[full]

# O instalar solo lo necesario
pip install malware-check[binary]
pip install malware-check[detect]
pip install malware-check[yara]

# O instalar extras manualmente
pip install pefile lief magika yara-python

Detección de Tipo de Archivo con IA (Magika)

pip install malware-check[detect]

Cuando está instalado, malware-check utiliza Magika para mejorar la identificación de archivos multiplataforma, enriquecer los metadatos de file_type y dirigir archivos sin extensión o disfrazados al analizador correcto basándose en el contenido en lugar del nombre del archivo.

Análisis Dinámico (Sandbox Docker)

# Requiere Docker - https://docs.docker.com/get-docker/
# Construir la imagen del sandbox (configuración única)
malware-check build-sandbox

Verificar Instalación

malware-check info

El comando info mostrará si la detección de archivos potenciada por Magika está disponible.

Claude Code (Skill)

Instálalo como una skill de Claude Code para que Claude pueda analizar archivos por ti:

# Instalar la skill desde GitHub
npx skills install momenbasel/malware-check --skill malware-check

# O manualmente: copiar skill/SKILL.md a tu directorio de skills
cp -r skill/ ~/.claude/skills/malware-check/

Luego en Claude Code, di: "escanear este archivo en busca de malware" o "¿este binario es seguro?" y Claude usará malware-check automáticamente.

También necesitas la herramienta CLI instalada:

pip install malware-check pefile lief yara-python

Codex CLI

Instala la herramienta y agrégala a las instrucciones de tu agente Codex:

# 1. Instalar el CLI
pip install malware-check pefile lief yara-python