Speakeasy

Speakeasy è un framework di emulazione di malware Windows che esegue binari, driver e shellcode in un runtime Windows modellizzato invece di una macchina virtuale completa. Emula API, comportamento di processi/thread, filesystem, registro di sistema e attività di rete, consentendo ai campioni di proseguire attraverso percorsi di esecuzione realistici. Puoi eseguirlo dalla CLI speakeasy per un triage rapido o incorporarlo come libreria Python e consumare report JSON strutturati.

Contesto: Il post di panoramica di Mandiant.

Avvio rapido

Installa da PyPI:

python3 -m pip install speakeasy-emulator

Esegui un campione e ispeziona i campi del report di alto livello (sostituisci sample.dll con il tuo target):

speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, filetype, entry_points: (.entry_points | length)}' report.json

{
  "sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
  "arch": "x86",
  "filetype": "dll",
  "entry_points": 3
}