Speakeasy

Speakeasy est un framework d'émulation de logiciels malveillants Windows qui exécute des binaires, des pilotes et du shellcode dans un environnement d'exécution Windows modélisé plutôt que dans une VM complète. Il émule les API, le comportement des processus/threads, le système de fichiers, le registre et l'activité réseau afin que les échantillons puissent continuer à progresser dans des chemins d'exécution réalistes. Vous pouvez l'exécuter depuis la CLI speakeasy pour un triage rapide ou l'intégrer en tant que bibliothèque Python et exploiter des rapports JSON structurés.

Contexte : article de présentation de Mandiant.

Démarrage rapide

Installer depuis PyPI :

python3 -m pip install speakeasy-emulator

Exécuter un échantillon et inspecter les champs de haut niveau du rapport (remplacez sample.dll par votre cible) :

speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, file_type, entry_points: (.entry_points | length)}' report.json

{
  "sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
  "arch": "x86",
  "file_type": "dll",
  "entry_points": 3
}

Plan de la documentation

Pour commencer

• Installation
• Utilisation de la bibliothèque Python
• Aide et dépannage
• Index de la documentation

Utilisation de la CLI

• Référence de la CLI
• Recettes d'analyse via la CLI
• Surcharges d'environnement de la CLI
• Contrôles d'exécution de la CLI

Rapports, configuration et comportement d'exécution

• Présentation de la configuration
• Présentation des rapports
• Gestion de la mémoire
• Limitations

Débogage et extension

• Référence de débogage GDB
• Montage de fichiers hôtes avec --volume
• Ajout de gestionnaires d'API
• Répertoire des exemples
• Plan de présentation de Speakeasy 2

Questions et aide

Commencez par doc/help.md.

Si vous avez encore besoin d'aide, ouvrez un ticket sur github.com/mandiant/speakeasy/issues.