Speakeasy

Speakeasy è un framework di emulazione di malware Windows che esegue binari, driver e shellcode in un runtime Windows modellato anziché in una VM completa. Emula le API, il comportamento di processi/thread, il filesystem, il registro e l'attività di rete, così i campioni possono continuare a muoversi lungo percorsi di esecuzione realistici. Puoi eseguirlo dalla CLI speakeasy per un triage rapido oppure integrarlo come libreria Python e consumare report JSON strutturati.

Contesto: il post di panoramica di Mandiant.

Avvio rapido

Installa da PyPI:

python3 -m pip install speakeasy-emulator

Esegui un campione e ispeziona i campi principali del report (sostituisci sample.dll con il tuo target):

speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, file_type, entry_points: (.entry_points | length)}' report.json

{
  "sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
  "arch": "x86",
  "file_type": "dll",
  "entry_points": 3
}

Mappa della documentazione

Inizia da qui

• Installazione
• Utilizzo come libreria Python
• Aiuto e risoluzione dei problemi
• Indice della documentazione

Utilizzo della CLI

• Riferimento CLI
• Ricette di analisi con la CLI
• Override dell'ambiente tramite CLI
• Controlli di esecuzione della CLI

Report, configurazione e comportamento del runtime

• Guida alla configurazione
• Guida ai report
• Gestione della memoria
• Limitazioni

Debug ed estensione

• Riferimento per il debug con GDB
• Montaggio di file host con --volume
• Aggiunta di gestori API
• Directory degli esempi
• Schema della guida a Speakeasy 2

Domande e assistenza

Inizia da doc/help.md.

Se hai ancora bisogno di aiuto, apri una issue su github.com/mandiant/speakeasy/issues.