MAPS Cloud Scanner

Uno strumento di ricerca per interagire con il sistema di reputazione dei file basato sul cloud e di consegna di firme dinamiche di Windows Defender's MAPS (Microsoft Active Protection Service).

MAPS è il backend cloud che alimenta i verdetti di protezione in tempo reale di Defender, la pipeline di invio dei campioni e la consegna di firme dinamiche (SDN/DSS). Questo strumento parla lo stesso protocollo Bond CompactBinaryV1 che il client Defender utilizza in rete, consentendo l'interazione diretta con gli endpoint MAPS per scopi di ricerca sulla sicurezza.

Caratteristiche

• Scansione dei file - Invia file a MAPS e ricevi verdetti cloud (pulito, malware, PUA, sconosciuto)
• Ricerca per hash - Interroga la reputazione dei file tramite SHA-256 senza inviare il file
• Reputazione URL - Controlla gli URL rispetto al servizio di reputazione cloud di Defender
• Heartbeat / Connettività - Testa la connettività agli endpoint MAPS
• Analisi locale - Analizza metadata PE, import, sezioni e firme authenticode offline
• Protocollo Bond - Serializzatore/deserializzatore CompactBinaryV1 completo che corrisponde al formato wire di Defender
• Ispezione dei payload - Costruisci, decodifica e riproduci payload Bond grezzi per la ricerca sul protocollo
• Fuzzing API - Enumera endpoint non documentati, campi nascosti, tipi di report e comportamento del server

Installazione

pip install -r requirements.txt

L'unica dipendenza richiesta è requests. Dipendenze opzionali per un'analisi avanzata:

Utilizzo

# Scan a local file
./maps_scanner scan <file>

# Query reputation by hash
./maps_scanner scan-hash <sha256>

# URL reputation check
./maps_scanner url <url>

# Connectivity test
./maps_scanner heartbeat

# Local-only PE analysis
./maps_scanner analyze <file>

# Build a Bond payload without sending
./maps_scanner build <file>

# Decode a captured Bond binary
./maps_scanner decode <file>

# Replay a previously captured payload
./maps_scanner replay <file>

# Show or edit configuration
./maps_scanner config

Aggiungi --json a qualsiasi comando per un output leggibile dalla macchina. Usa -v per dettagli verbose del protocollo.

Struttura del progetto

maps_scanner/
  __init__.py        # Package metadata
  __main__.py        # CLI entry point and command routing
  client.py          # MAPS protocol client, config, and file analysis
  bond.py            # Microsoft Bond CompactBinaryV1 serializer/deserializer
  fuzz_maps.py       # API fuzzer for endpoint and field discovery
  maps_scanner       # Python wrapper script
  requirements.txt   # Dependencies
  docs/              # Protocol documentation and test results
  tests/             # Test samples and utilities

Documentazione

La documentazione dettagliata del protocollo è disponibile in docs/:

• MAPS_SCANNER.md - Riferimento tecnico completo
• MAPS_SAMPLE_IO.md - Esempi di payload richiesta/risposta
• MAPS_LIVE_TEST_RESULTS.md - Risultati dei test live sugli endpoint
• maps_protocol_guide.html - Guida visiva al protocollo

Disclaimer

Questo strumento è fornito solo per ricerca di sicurezza autorizzata. Interagisce con i servizi live di Microsoft. Utilizzalo in modo responsabile e nel rispetto di tutte le leggi applicabili e dei termini di servizio di Microsoft. Gli autori non si assumono alcuna responsabilità per un uso improprio.

Licenza

Solo per uso autorizzato di ricerca sulla sicurezza.