scan

Rilevamento malware 0-day per binari, sorgenti e script (che non fa schifo)

Se sei su un host di tipo UNIX (macOS, Linux, BSD, Solaris, illumos, Android):

Se sei su Windows:

Oppure, se hai Rust installato e vuoi semplicemente compilarlo dai sorgenti:

Se è richiesta un'analisi binaria più approfondita, dovresti anche installare 7-Zip, rizin, upx e innoextract.

Su Windows, usando winget:

Su sistemi di tipo Unix, installa 7-Zip upstream (brew install sevenzip, apt install 7zip) invece di p7zip — il suo 7z non riesce a leggere APFS, quindi il contenuto dei .dmg non viene analizzato.

Utilizzo

I codici di uscita rendono banale l'integrazione in CI:

• 0: tutti i campioni sono benigni
• 1: rilevato campione ostile
• 2: rilevato campione sospetto
• 3: errore di analisi
• 4: il set di regole era incompleto — la scansione è stata eseguita con meno regole di quelle definite dal trait set, quindi qualsiasi risultato diverso da ostile non prova nulla. Rieseguila.

Come funziona

1. stng estrae il contenuto, anche se offuscato
2. cleave decomprime i container ed estrae le capacità
3. Il report viene convertito in un vettore di feature standardizzato, uniforme tra i tipi di file.
4. Gli ensemble di modelli LightGBM di azoth assegnano un punteggio al campione.

Rete e privacy

atomscan non invierà mai dati di telemetria. Tuttavia si collegherà a Internet per 2 motivi:

• aggiornamenti delle regole: ogni 24h, può essere disabilitato usando --no-update o SCAN_NO_UPDATE_CHECK=1
• seguire i riferimenti scoperti: per rilevare se un pacchetto benigno dipende da o scarica un payload compromesso. Imposta --follow=none per analizzare solo l'artefatto richiesto.

Regolare il livello di falsi positivi

A differenza di altri scanner di malware, Atomdrift ti consente di regolare la sensibilità in termini di un livello accettabile di falsi positivi usando il flag -l:

• -l0: stretto, imposta la soglia di confidenza a un punto in cui non sono stati osservati falsi positivi.
• -l25: il punto di default: 25 falsi positivi per 100 milioni di file.
• -l1000: permissivo, circa 1 falso positivo per 100.000 file.

NOTA: per i formati di file di cui non abbiamo 100 milioni di campioni, il tasso di falsi positivi osservato può essere fino a 5-6 volte il livello richiesto. I risultati possono variare.

Le sovrascritture grezze --threshold-hostile e --threshold-suspicious sono disponibili per gli utenti che vogliono gestire direttamente le soglie di probabilità, ma questi numeri non sono garantiti stabili, e questi flag non possono essere combinati con -l.

LLM locale opzionale (interpretazione)

Per un'interpretazione aggiuntiva, gli utenti possono fornire accesso a un LLM tramite il flag --llm. Questo flag ha due scopi:

• Fornisce un'interpretazione testuale dei risultati tramite un modello linguistico di grandi dimensioni
• Guida i casi limite in base all'accordo/disaccordo con il modello ML ( p fino al 33%)

Per impostazione predefinita, atomscan invia le evidenze interpretate (non il file originale) a http://localhost:8000/v1 - da usare con un servizio locale come Ollama o vLLM; ma può anche essere configurato per usare un servizio remoto come Claude, ChatGPT o DeepSeek.

Nessun modello è hardcoded: a meno che tu non passi --llm-model, atomscan chiede all'endpoint quali modelli serve e usa il più grande che elenca. Consigliamo di servire Qwen/Qwen3.8-27B.

Se l'endpoint richiede un bearer token, inseriscilo in ~/.tok/llm (modalità 0600) e atomscan lo invierà automaticamente; --llm-key e SCAN_LLM_KEY sovrascrivono quel file.

--llm accetta anche una catena di failover separata da virgole, provata in ordine — --llm 'https://llm.isotope13.ai/v1,openrouter' valuta sul tuo endpoint e ricorre a quello a pagamento solo quando non riesce a rispondere.

--llm openrouter comunica con https://openrouter.ai/api/v1. La chiave proviene da --llm-key, SCAN_LLM_KEY o ~/.tok/openrouter (prima riga non vuota). --llm-model è impostato di default su openrouter/auto (l'auto-router di OpenRouter) se omesso — il resto del catalogo non viene selezionato automaticamente.

make deploy su Linux accetta gli stessi nomi: LLM=openrouter (o LLM_URL=openrouter), e LLM_MODEL=qwen/qwen3.8-27b solo per fissare un modello invece di openrouter/auto. L'unità non può leggere la home dell'operatore (ProtectHome=true), quindi lo script di deploy copia ~/.tok/openrouter nella directory di stato del servizio.

Copertura

Lo scanner riconosce più di 100 tipi di file e container. La copertura rappresentativa include:

Il set di regole include comportamenti specifici per piattaforma per Linux, macOS, Windows, Android, iOS, i BSD, AIX, Solaris, QNX, z/OS, ESXi, OpenWrt, VxWorks, RouterOS, FortiOS, PAN-OS, IOS-XE, Junos, NetScaler e appliance Ivanti.

La matrice di build predefinita copre Linux, macOS, FreeBSD, OpenBSD, NetBSD, illumos, Solaris e Windows su diverse architetture CPU. La profondità dei test varia in base al target; consulta il workflow di build per la matrice attuale.

Documentazione

• Guida all'integrazione — CLI, server, worker, codici di uscita e scelte di deployment
• Schema del report JSON — campi di output leggibili dalla macchina
• API del server — servizio HTTP a lunga esecuzione
• Worker — scansione distribuita con hopper
• Comportamento delle dipendenze — grafo delle dipendenze recuperate e provenienza

Progetti correlati

• cleave — estrazione delle capacità e analisi statica
• azoth — pesi del modello, soglie e specifica delle feature
• hopper — coda di lavoro distribuita
• Atomdrift Lab — analisi gratuita dei campioni

Licenza

Atomdrift Scan è disponibile sotto la Apache License 2.0.

Tutti i contributi sono benvenuti!