Evidenze focalizzate sul reverse engineering di malware con ispezione approfondita di PE/.NET, ricostruzione con Ghidra, verifiche incrociate con IA, YARA e debug di ELF

Versione sorgente corrente: AIDebug 3.1.0. Consulta le note di rilascio 3.1.0.

L'ultima release pubblicata immutabile rimane AIDebug v3.0.0, disponibile come 1200km-aidebug, finché il tag 3.1.0 abbinato alla versione e la release GitHub non completano il workflow di pubblicazione verificato.

Punti salienti

• Triage statico deterministico di PE ed ELF senza richiedere un servizio AI.
• Intelligence sulle stringhe ASCII, UTF-8, UTF-16LE e UTF-16BE dell'intero file, con consapevolezza delle occorrenze, categorie intelligenti, ranking e spiegazioni DLL/API.
• Visualizzatore esadecimale di sola lettura e impaginato per l'intero file analizzato.
• Esploratore approfondito della struttura PE32/PE32+ con RVA, VA e offset di file mappati.
• Ricostruzione in stile C basata su Ghidra per una singola funzione o per l'intero insieme limitato di funzioni.
• Revisione opzionale basata su evidenze tramite Anthropic, OpenAI, Google Gemini o un endpoint locale compatibile con Ollama.
• Debugging locale di ELF basato su GDB con breakpoint, stepping, registri, delta, contesto di disassemblaggio e candidati input/output di funzioni.
• Cento casi di apprendimento C autonomi con output reale del compilatore, disassemblaggio e pseudo-codice Ghidra nella GUI principale.
• Cronologia delle analisi locali indicizzata per SHA-256 e ripristino compatibile dei risultati.
• Output HTML, JSON versionato, candidati YARA, candidati ATT&CK e CFG per la revisione dell'analista.

Installazione

Installa il pacchetto stabile da PyPI:

Installa le capacità opzionali secondo necessità:

Per lo sviluppo:

Ghidra, GDB, Bubblewrap, un compilatore C e i componenti target di Frida sono strumenti esterni utilizzati solo dai workflow che li richiedono.

Avvio rapido

Apri un campione PE o ELF nell'interfaccia terminale principale:

Esegui l'analisi deterministica senza l'interfaccia a schermo intero ed esporta le evidenze:

Usa la ricostruzione Ghidra:

Analizza un'unità di traduzione C tramite un artefatto ELF temporaneo e non eseguito:

Identifica un file arbitrario indipendentemente dall'estensione del nome:

--identify riporta JSON strutturato con tipo dichiarato, tipo MIME, estensioni comuni, confidenza, metodo, evidenze, SHA-256 e dimensione. La copertura deterministica include formati eseguibili e bytecode comuni, archivi e immagini disco, contenitori Office/OpenDocument/EPUB, documenti, immagini, audio/video, catture di pacchetti, database, artefatti di registro/log eventi, script e testo. I formati basati su ZIP vengono ispezionati tramite nomi di membri limitati e piccole letture di metadati; i file non vengono mai eseguiti o estratti.

Installa python-magic insieme al database libmagic del sistema operativo per firme aggiuntive note alla piattaforma locale:

Quando nessuna firma deterministica, struttura o regola testuale corrisponde, un provider AI configurato può dedurre un candidato da metadati limitati: estensione, dimensione, SHA-256, fino a 96 byte di intestazione, 32 byte di coda, entropia del campione e rapporto NUL. Il corpo del file, le stringhe estratte e il percorso del filesystem non vengono inviati. I risultati solo-AI sono etichettati ai-inference, limitati al 60% di confidenza e richiedono la validazione dell'analista. Usa --offline per disabilitare completamente il fallback; un tipo non risolto viene riportato come Unknown con stato di uscita 2.

Workspace Intelligence Stringhe (3.1.0)

Premi S nell'interfaccia terminale principale, oppure avvia direttamente nel workspace:

Il workspace preserva gli offset di file, gli indirizzi mappati quando disponibili, codifica, lunghezze in byte e caratteri, informazioni sulle occorrenze duplicate, contesto di sezione, confidenza, punteggio di triage e le ragioni deterministiche per ogni classificazione. I filtri coprono lunghezza minima, codifica, categoria e ricerca a testo libero; l'ordinamento delle colonne e la paginazione mantengono utilizzabili inventari di grandi dimensioni. Ogni codifica selezionata scansiona l'intero artefatto limitato per dimensione. L'inventario conservato è limitato a 25.000 record e 4.096 caratteri visualizzati per valore; i conteggi esatti di candidati/omissioni e la copertura completa dei byte rendono visibile entrambi i limiti. Ogni record conserva al massimo 32 annotazioni DLL/API e 4.096 caratteri di descrizione; gli overflow avversari vengono riportati nelle ragioni del record.

Il rilevamento è multi-etichetta. Un singolo valore può essere simultaneamente una DLL, un percorso Windows, un URL, un indirizzo IP, una chiave di registro, un comando, un frammento PowerShell, una named pipe, un hash, un candidato credenziale, uno user agent o un altro tipo di evidenza supportato. I candidati dominio vengono normalizzati IDNA e verificati rispetto a uno snapshot offline incluso della zona root IANA; gli indirizzi IP devono occupare un token valido completo e le assegnazioni di configurazione devono corrispondere a una grammatica conservativa a riga intera. Questo impedisce che brevi frammenti binari vengano promossi solo perché contengono un punto, due punti o un segno di uguale. Le etichette correlate condividono una famiglia di confidenza, quindi ip_address più ipv6 non viene trattato come due osservazioni indipendenti. Le DLL e le API note ricevono brevi descrizioni di capacità neutre; i nomi sconosciuti ricevono un fallback esplicito non verificato invece di uno scopo ipotizzato. Un nome estratto è evidenza di presenza, non prova che il codice lo abbia invocato o che il campione sia dannoso.

Stampa l'inventario deterministico localmente, filtra la vista CLI visualizzata o scrivi l'inventario completo canonico come JSON di sola proprietà:

La revisione AI delle stringhe è un'azione separata opt-in. Premi A all'interno del workspace e conferma l'avviso privacy/costo, oppure richiedila esplicitamente in modalità CLI:

A ogni stringa conservata viene assegnato un ID di evidenza stabile. Dopo la conferma esplicita, il percorso AI pianifica ogni record conservato in blocchi deterministici e limitati; i fallimenti del provider o della validazione si fermano in modo sicuro e rimangono visibili. Le risposte devono rendere conto di ogni ID fornito e superare una rigorosa validazione locale di schema, enum, riferimenti e grounding IOC prima di essere accettate. Un riduttore finale vede i risultati validati piuttosto che l'inventario grezzo. I limiti di estrazione, i batch falliti e i conteggi revisionati/inviati vengono sempre riportati; una copertura incompleta forza una valutazione complessiva unknown. Le stringhe possono contenere password, token API, dati dei clienti e prompt injection scritti da attaccanti, quindi rivedi il confine AI remoto prima di abilitare questa funzionalità.

Ispeziona le analisi precedenti per file o SHA-256:

Workspace Struttura PE

Carica un file PE e premi X (o P) nella GUI principale. AIDebug presenta i byte esatti che ha sottoposto a hash e organizza le evidenze strutturali in viste limitate e navigabili.

AIDebug non esegue un PE durante la creazione di queste viste. La verifica statica dei certificati non è la fiducia root di Windows o la validazione di revoca, i metadati Rich non sono attribuzione, i metadati strong-name non sono fiducia dell'editore e i flag di mitigazione statici non sono prova di una policy runtime efficace.

Guide pubblicate

Questi articoli forniscono i workflow a lungo formato e gli screenshot che completano la documentazione del repository:

• AIDebug 3.1 Full Release Review: From Binary Intake to String Intelligence — il workflow completo incentrato sulle evidenze attraverso identificazione file, triage PE ed ELF, funzioni, flusso di controllo, stringhe, Ghidra, revisione AI opzionale, debugging controllato, cronologia e report.
• Strings Analysis for Malware Analysis: Turning Binary Text into Defensible Hypotheses — estrazione con consapevolezza delle occorrenze, categorizzazione conservativa, validazione IOC, riferimenti incrociati e AIDebug String Intelligence.
• PE File Structure for Malware Analysis: A Practical Guide — layout PE, comportamento del loader, intestazioni, sezioni, import, export, risorse, relocazioni, TLS, mitigazioni, firme, overlay e metadati .NET con AIDebug.
• Assembly for Malware Analysis: A Practical x86/x64 Guide — registri, flag, convenzioni di chiamata, flusso di controllo, API Windows e casi di apprendimento pratici AIDebug.
• AI-Powered Malware Debugger That Explains Every Function It Sees — il walkthrough del progetto AIDebug originale preservato localmente.

Modalità Apprendimento

Apri il catalogo completo o inizia con un caso specifico:

Ogni caso incluso è un file autonomo in learning/cases/. AIDebug compila il caso selezionato in un ELF x86-64 temporaneo, mostra il sorgente C esatto e le istruzioni generate dal compilatore, chiede a Ghidra una ricostruzione indipendente, registra la provenienza della build e rimuove l'artefatto temporaneo. Il binario della lezione generato non viene mai eseguito.

Usa --no-tui per l'output testuale, oppure carica una raccolta esterna revisionata:

Provider AI

L'analisi AI è opzionale. La modalità offline deterministica rimane disponibile senza credenziali.

Configura esattamente un provider, oppure imposta AIDEBUG_LLM_PROVIDER esplicitamente quando esistono più credenziali:

Usa AIDEBUG_ENV_FILE=/absolute/path/to/private.env per mantenere la configurazione lontana da directory di analisi non fidate. L'analisi bulk remota richiede l'acknowledgement esplicito --accept-ai-cost. Rivedi il confine dati AI remoto prima di inviare evidenze di campioni a qualsiasi provider.

Debugging Attivo ELF

La modalità attiva basata su GDB esegue l'ELF locale selezionato. Usala solo all'interno di un laboratorio isolato e autorizzato:

I comandi disponibili includono break, continue, step, next, finish, registers, changes, io, disassemble e quit. La modalità dinamica Frida è disponibile separatamente per workflow di strumentazione locali o remoti supportati.

Output

Come funziona

Sicurezza e ambito

Usa AIDebug solo su software e sistemi che sei autorizzato a esaminare, all'interno di una VM o di un laboratorio di analisi malware isolato.

• L'analisi statica non esegue il PE o l'ELF ispezionato.
• Gli input C e i casi di apprendimento vengono compilati in artefatti temporanei che non vengono eseguiti dai loro workflow di analisi.
• La modalità attiva GDB avvia un ELF locale; la modalità Frida strumenta un target in esecuzione.
• Gli output sono evidenze e ipotesi limitate, non attribuzione automatica o verità di rilevamento finale.
• I database di sessione e gli export possono contenere evidenze sensibili e non sono crittografati da AIDebug.
• L'output Ghidra è codice ricostruito in stile C, non il sorgente originale recuperato.

Leggi il modello di sicurezza completo, la policy di sicurezza e il piano di limitazioni e validazione prima di analizzare campioni non fidati.

Documentazione

Sviluppo

Esegui i controlli locali rapidi:

Esegui il gate di rilascio isolato completo:

Consulta CONTRIBUTING.md per le linee guida sui contributi. Non allegare malware live, credenziali, dati di casi privati o evidenze non oscurate a issue o pull request.

Progetto

• Releases
• PyPI
• Issues
• Discussions
• Policy di sicurezza
• Metadati di citazione
• Ecosistema di ricerca sulla sicurezza 1200km

Licenza

AIDebug è rilasciato sotto la Licenza MIT.