CheckPlz

CheckPlz è un adattamento in Rust dei popolari strumenti ThreatCheck e GoCheck, progettato per scansionare file alla ricerca di potenziali minacce sfruttando AMSI (Antimalware Scan Interface) e Windows Defender. Isolando il contenuto dannoso con precisione e fornendo un'analisi completa, CheckPlz offre un'esperienza di scansione dei file migliorata ed efficiente.

Funzionalità principali

• Integrazione AMSI: Esegue scansioni accurate dei buffer per il rilevamento delle minacce.
• Isolamento delle minacce tramite ricerca binaria: Localizza con precisione la porzione del file che causa il rilevamento.
• Analisi del dump esadecimale: Visualizza il contenuto sospetto con un dump esadecimale e ASCII dettagliato.
• Supporto per il debug: Attiva l'output verbose per approfondimenti.
• Output personalizzabile: Scegli tra output grezzo o colorato e leggibile.

Come funziona

1. Scansione AMSI:

   • Inizializza un contesto AMSI.
   • Scansiona il contenuto del file e i buffer alla ricerca di minacce.
   • Se viene rilevata una minaccia, esegue una ricerca binaria per isolare il segmento dannoso.

2. Scansione con Windows Defender:

   • Richiama MpCmdRun.exe per scansionare il file.
   • Analizza l'output per il rilevamento delle minacce.
   • Esegue una ricerca binaria se viene trovata una minaccia.

3. Ricerca binaria:

   • Scansiona ricorsivamente i segmenti del file per individuare il contenuto dannoso.
   • Produce log e risultati dettagliati.

Installazione

1. Clona il repository:
   root@kitploit:~

   git clone https://github.com/your-username/CheckPlz.git
   cd CheckPlz
   

2. Compila il progetto:
   root@kitploit:~

   cargo build --release
   

3. L'eseguibile sarà disponibile in target/release/checkplz.exe.

Istruzioni per l'uso

Esegui CheckPlz con le opzioni desiderate:

Usage: CheckPlz.exe [OPTIONS] --file <FILE>

Options:
  -f, --file <FILE>  Percorso del file da scansionare
  -d, --debug        Abilita la modalità debug
  -a, --amsi         Utilizza la scansione AMSI
  -m, --msdefender   Utilizza la scansione di Windows Defender
  -r, --raw          Output grezzo senza colori ANSI
  -h, --help         Stampa l'aiuto
  -V, --version      Stampa la versione

Comandi di esempio

• Scansiona un file usando AMSI:

  root@kitploit:~

  checkplz --file malicious.exe --amsi
  

• Scansiona un file con Windows Defender:

  root@kitploit:~

  checkplz --file suspicious.exe --msdefender
  

• Esegui una scansione usando sia AMSI che Windows Defender con output debug attivato:

  root@kitploit:~

  checkplz --file unknown.exe --amsi --msdefender --debug
  

• Esegui una scansione con output grezzo:

  root@kitploit:~

  checkplz --file unknown.exe --amsi --raw
  

Panoramica dell'output

• Risultati della scansione: Mostra lo stato del rilevamento, gli offset potenzialmente dannosi e il tempo impiegato per la scansione.
• Analisi del dump esadecimale: Viste dettagliate delle sezioni sospette, evidenziando i byte dannosi.