Speakeasy

Speakeasy एक Windows मैलवेयर एमुलेशन फ्रेमवर्क है जो बाइनरी, ड्राइवर और शेलकोड को पूर्ण VM के बजाय एक मॉडल किए गए Windows रनटाइम में निष्पादित करता है। यह APIs, प्रक्रिया/थ्रेड व्यवहार, फाइलसिस्टम, रजिस्ट्री और नेटवर्क गतिविधि का एमुलेशन करता है ताकि नमूने यथार्थवादी निष्पादन पथों पर चलते रहें। आप इसे त्वरित ट्राइज के लिए speakeasy CLI से चला सकते हैं या Python लाइब्रेरी के रूप में एम्बेड करके संरचित JSON रिपोर्ट का उपभोग कर सकते हैं।

पृष्ठभूमि संदर्भ: Mandiant का अवलोकन पोस्ट.

त्वरित आरंभ

PyPI से इंस्टॉल करें:

python3 -m pip install speakeasy-emulator

एक नमूना चलाएं और उच्च-स्तरीय रिपोर्ट फ़ील्ड का निरीक्षण करें (sample.dll को अपने लक्ष्य से बदलें):

speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, filetype, entry_points: (.entry_points | length)}' report.json

{
  "sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
  "arch": "x86",
  "filetype": "dll",
  "entry_points": 3
}

इस स्निपेट का निष्पादन योग्य प्रमाण: doc/readme-quickstart-showboat.md.

दस्तावेज़ीकरण मानचित्र

यहां से शुरू करें

• इंस्टॉलेशन और Docker उपयोग
• Python लाइब्रेरी उपयोग
• सहायता और समस्या समाधान
• दस्तावेज़ीकरण सूची

CLI उपयोग

• CLI संदर्भ
• CLI विश्लेषण रेसिपी
• CLI वातावरण ओवरराइड
• CLI निष्पादन नियंत्रण
• CLI सहायता स्नैपशॉट (showboat)

रिपोर्ट, कॉन्फ़िगरेशन और रनटाइम व्यवहार

• कॉन्फ़िगरेशन वॉकथ्रू
• रिपोर्ट वॉकथ्रू
• मेमोरी प्रबंधन
• सीमाएँ

डीबगिंग और एक्सटेंशन

• GDB डीबगिंग संदर्भ
• GDB सत्र (showboat)
• --volume के साथ होस्ट फ़ाइलें माउंट करना
• API हैंडलर जोड़ना
• उदाहरण निर्देशिका
• Speakeasy 2 वॉकथ्रू आउटलाइन

प्रश्न और सहायता

doc/help.md से शुरू करें।

यदि आपको अभी भी सहायता चाहिए, तो github.com/mandiant/speakeasy/issues पर एक issue खोलें।