Telegram, AI एजेंट्स (Antigravity / Local Ollama / OpenCode), और ph4ntom-ida-bridge के माध्यम से IDA Pro 9.5 के लिए इन-विट्रो स्टैटिक मैलवेयर विच्छेदन पाइपलाइन
In vitro («कांच में»): हर्मेटिक कांच के पीछे मैलवेयर का स्वचालित स्टैटिक विश्लेषण — होस्ट पर नमूने के निष्पादन के एक भी चरण के बिना (in vivo निषिद्ध), जो बाइनरी के «ब्लैक बॉक्स» को Telegram, AI-एजेंट (Antigravity / OpenCode / Custom CLI) और IDA Pro 9.5 (
ph4ntom-ida-bridge) के माध्यम से पारदर्शी कांच में बदल देता है।
आप Telegram में बॉट को कोई भी फ़ाइल या आर्काइव (2 GB तक) भेजते हैं → बॉट user_id की श्वेतसूची जाँचता है, फ़ाइल को क्वारंटीन में डाउनलोड करता है, तेज़ नियतात्मक प्री-ट्रायाज करता है, आवश्यकता पड़ने पर स्वयं ph4ntom-ida-bridge के साथ पृथक IDA Pro 9.5 लॉन्च करता है, स्टैटिक रिवर्स और कॉन्फ़िग डिक्रिप्शन (execute_idapython + स्थानीय AST-सैंडबॉक्स) करता है और तैयार Markdown-रिपोर्ट उसी चैट में वापस भेजता है।
Telethon) के ऊपर काम करना Docker और तृतीय-पक्ष प्रॉक्सी के बिना क्लाउड Bot API की 20 MB की सीमा को हटा देता है।ZIP (जिसमें pyzipper के माध्यम से WinZip AES-128/256 भी शामिल है), 7z, RAR/RAR5 (7z.exe/UnRAR.exe की स्वतः खोज या स्पष्ट SEVENZIP_BIN/UNRAR_BIN, OEM एन्कोडिंग CP866/CP1251 के प्रति सहनशीलता), tar/gz/bz2/xz, CAB, ISO के लिए समर्थन; नेस्टेड आर्काइव में रिकर्सन से पहले फ़ाइल कैप्शन (pass: ...) से, निकाले गए आस-पास के टेक्स्ट फ़ाइलों (ПАРОЛЬ.txt, readme.txt UTF-8/CP1251/CP866 में) से और मानक malware-पासवर्ड (infected, malware, virus आदि) से पासवर्ड का स्वतः चयन; zip-slip, सिमलिंक और zip-बम से सुरक्षा; .docm/.xlsm/.apk/.jar को कंटेनर के रूप में सहेजना और साथ-साथ नेस्टेड बाइनरी का निष्कर्षण।MD5/SHA-1/SHA-256), एन्ट्रॉपी, PE (pefile: सेक्शन, RWX, खतरे की श्रेणियों के अनुसार इम्पोर्ट, ओवरले, TLS, Authenticode, .NET, .rdata/.data की प्राथमिकता स्कैनिंग), स्टैक स्ट्रिंग्स और एक-बाइट XOR-बफ़र्स (mov byte ptr [rbp/rsp+disp], imm8) का नियतात्मक प्रकटीकरण, ELF, Mach-O, DEX, Office VBA-मैक्रो (oletools), PDF (/JavaScript, /OpenAction, /URI), Windows .lnk, PowerShell -enc और IOC एक्सट्रैक्टर।ORCHESTRATOR_INTERNET=1 सक्षम होने पर (या extended_static / full_local प्रोफ़ाइल में) डेमन हमलावरों के लाइव सर्वर से संपर्क किए बिना MalwareBazaar, ThreatFox, VirusTotal REST v3 (यदि VT_API_KEY सेट है), DNS-over-HTTPS और RDAP के माध्यम से ट्राइएज से SHA-256 और बाहरी डोमेन/IP की निष्क्रिय जाँच करता है, और jobs/<job_id>/osint_report.json सहेजता है। प्रमुख-एजेंट को CLI tools/osint_lookup.py भी मिलता है (SSRF-सुरक्षा के साथ)।ida.exe -A का पृथक निष्पादन, स्वचालित पृथक staging-निर्देशिका IDAUSR के साथ (%APPDATA%\Hex-Rays\IDA Pro\plugins\ पर sandbox अनुमतियों पर निर्भर नहीं), स्ट्रिंग XREF द्वारा उपयोगकर्ता फ़ंक्शनों की 2-हॉप खोज और मुख्य फ़ंक्शन का स्वतः डीकंपाइलेशन, ~/.ph4ntom_ida_instances.json में PID/पोर्ट द्वारा सख्त बाइंडिंग, ida_evidence.json में सत्र के प्रमाणों का लॉगिंग और प्रक्रिया की गारंटीकृत समाप्ति — IDA की आपकी मैन्युअल रूप से खोली गई विंडो प्रभावित नहीं होतीं।[पुष्ट] / [संभावित] / [अपुष्ट] में वर्गीकृत करने और विश्वास की सीमाओं के बारे में स्पष्ट रूप से बताने के लिए बाध्य करता है, और स्क्रिप्ट tools/send_telegram_report.py अंतिम रिपोर्ट की triage_report.json और ida_evidence.json के साथ नियतात्मक रूप से जाँच करती है (विकृत SHA-256, IDA के न चलने पर गढ़े गए sub_* / Hex-Rays, और अकारण clean निर्णयों को अवरुद्ध करते हुए)।safe_static (सख्त कमांड whitelist और AST सैंडबॉक्स) का उपयोग होता है, लेकिन एक क्लिक में extended_static (+ इंटरनेट/OSINT) या full_local (समर्पित विश्लेषणात्मक PC के लिए पूर्ण PowerShell + इंटरनेट) सक्षम किए जा सकते हैं।execute_idapython और स्थानीय सैंडबॉक्स tools/run_static_decoder.py (AST फ़िल्टर + sys.addaudithook, जो प्रक्रियाओं के निष्पादन, रजिस्ट्री और jobs/<id>/decoded/ के बाहर लेखन को प्रतिबंधित करते हैं, सक्रिय full_local के साथ वैकल्पिक --allow-network / --unrestricted-imports के साथ)।backends/): बॉक्स से बाहर Antigravity, स्वायत्त स्थानीय AI एजेंट (local — Ollama / qwen2.5-coder:7b / LM Studio / vLLM, जनरेशन के स्ट्रीमिंग नियंत्रण, ollama serve के ऑटोस्टार्ट और 16K कॉन्टेक्स्ट के साथ) और OpenCode (opencode run + तैयार कॉन्फ़िग opencode.json.example) के साथ काम करता है, और क्लाउड antigravity और स्थानीय मॉडल के बीच स्विचिंग सीधे Telegram में /mode local ↔ /mode antigravity कमांड से (या फ़ाइल कैप्शन में एकबारगी टैग #local से) बॉट को पुनः आरंभ किए बिना की जाती है।user_id (data/allowed_users.json) के लिए निजी संदेशों में काम करता है। अन्य उपयोगकर्ताओं को पूरी तरह अनदेखा किया जाता है; मालिक /allow और /revoke के माध्यम से एक्सेस प्रबंधित करता है।[Доверенный user_id в Telegram]
│ (любой файл / архив до 2 ГБ, опционально пароль в подписи)
▼
[bot_daemon.py (Telethon MTProto + Keepalive)]
├─ Белый список: data/allowed_users.json (/whoami, /allow, /revoke, /users, /status, /mode, /reset)
├─ Очередь (MAX_CONCURRENT_JOBS=1) → скачивание в jobs/<job_id>/sample/
├─ Этап 1: tools/triage.py → безопасная распаковка + стековый/XOR декодер + jobs/<job_id>/triage_report.json
└─ Этап 2: backends/* (Antigravity | Local LLM [Ollama/LM Studio] | OpenCode | Custom CLI)
│
▼
[ИИ-агент (строго статика)]
├─ VirusTotal MCP: проверка только SHA-256 / доменов / IP (без загрузки файла)
├─ IDA Pro 9.5: tools/ida_session.py open → MCP ida-bridge + static execute_idapython → close
├─ Локальные декодеры: tools/run_static_decoder.py (AST + audit hook sandbox)
└─ Финал: tools/send_telegram_report.py → jobs/<job_id>/delivery_ready.json
│
▼
[bot_daemon.py] → отправляет вердикт, сводку и файл report_<name>.md обратно в чат
सार्वजनिक रिपॉज़िटरी secure-by-default सिद्धांत पर सेट है (.env.example और opencode.json.example में PERMISSION_PROFILE=safe_static), और आपके व्यक्तिगत PC या समर्पित स्टैंड पर अनुमतियाँ लचीले ढंग से विस्तारित की जाती हैं: