MAPS Cloud Scanner

Un outil de recherche pour interagir avec le système de réputation de fichiers basé sur le cloud et de livraison de signatures dynamiques de Windows Defender's MAPS (Microsoft Active Protection Service).

MAPS est le backend cloud qui alimente les verdicts de protection en temps réel de Defender, le pipeline de soumission d'échantillons et la livraison de signatures dynamiques (SDN/DSS). Cet outil parle le même protocole Bond CompactBinaryV1 que le client Defender utilise sur le fil, permettant une interaction directe avec les endpoints MAPS à des fins de recherche en sécurité.

Fonctionnalités

• Analyse de fichiers - Soumettre des fichiers à MAPS et recevoir des verdicts cloud (propre, malware, PUA, inconnu)
• Recherche par hash - Interroger la réputation d'un fichier par SHA-256 sans soumettre le fichier
• Réputation d'URL - Vérifier les URL auprès du service de réputation cloud de Defender
• Heartbeat / Connectivité - Tester la connectivité aux endpoints MAPS
• Analyse locale - Analyser les métadonnées PE, les imports, les sections et les signatures Authenticode hors ligne
• Protocole Bond - Sérialiseur/désérialiseur CompactBinaryV1 complet correspondant au format filaire de Defender
• Inspection de charge utile - Construire, décoder et rejouer des charges utiles Bond brutes pour la recherche de protocole
• Fuzzing API - Énumérer les endpoints non documentés, les champs cachés, les types de rapports et le comportement du serveur

Installation

pip install -r requirements.txt

La seule dépendance requise est requests. Dépendances optionnelles pour une analyse améliorée :

Utilisation

# Scan a local file
./maps_scanner scan <file>

# Query reputation by hash
./maps_scanner scan-hash <sha256>

# URL reputation check
./maps_scanner url <url>

# Connectivity test
./maps_scanner heartbeat

# Local-only PE analysis
./maps_scanner analyze <file>

# Build a Bond payload without sending
./maps_scanner build <file>

# Decode a captured Bond binary
./maps_scanner decode <file>

# Replay a previously captured payload
./maps_scanner replay <file>

# Show or edit configuration
./maps_scanner config

Ajoutez --json à n'importe quelle commande pour une sortie lisible par machine. Utilisez -v pour les détails verbeux du protocole.

Structure du projet

maps_scanner/
  __init__.py        # Package metadata
  __main__.py        # CLI entry point and command routing
  client.py          # MAPS protocol client, config, and file analysis
  bond.py            # Microsoft Bond CompactBinaryV1 serializer/deserializer
  fuzz_maps.py       # API fuzzer for endpoint and field discovery
  maps_scanner       # Python wrapper script
  requirements.txt   # Dependencies
  docs/              # Protocol documentation and test results
  tests/             # Test samples and utilities

Documentation

La documentation détaillée du protocole est disponible dans docs/ :

• MAPS_SCANNER.md - Référence technique complète
• MAPS_SAMPLE_IO.md - Exemples de charges utiles requête/réponse
• MAPS_LIVE_TEST_RESULTS.md - Résultats des tests d'endpoints en direct
• maps_protocol_guide.html - Guide visuel du protocole

Avertissement

Cet outil est fourni uniquement pour la recherche en sécurité autorisée. Il interagit avec les services Microsoft en direct. Utilisez-le de manière responsable et conformément à toutes les lois applicables et aux conditions d'utilisation de Microsoft. Les auteurs déclinent toute responsabilité en cas de mauvaise utilisation.

Licence

Utilisation autorisée uniquement pour la recherche en sécurité.