Speakeasy

Speakeasyは、完全なVMではなくモデル化されたWindowsランタイム上でバイナリ、ドライバー、シェルコードを実行するWindowsマルウェアエミュレーションフレームワークです。API、プロセス/スレッドの動作、ファイルシステム、レジストリ、ネットワークアクティビティをエミュレートするため、サンプルは現実的な実行パスを通り抜け続けることができます。迅速なトリアージにはspeakeasy CLIから実行するか、Pythonライブラリとして組み込んで構造化されたJSONレポートを利用できます。

背景情報: Mandiantの概要記事。

クイックスタート

PyPIからインストールします:

python3 -m pip install speakeasy-emulator

サンプルを実行し、高レベルのレポートフィールドを確認します(sample.dllを対象に置き換えてください):

speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, file_type, entry_points: (.entry_points | length)}' report.json

{
  "sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
  "arch": "x86",
  "file_type": "dll",
  "entry_points": 3
}

ドキュメントマップ

まずはここから

CLIの使用方法

レポート、設定、ランタイムの動作

デバッグと拡張

質問とヘルプ

まずはdoc/help.mdをご覧ください。

それでも解決しない場合は、github.com/mandiant/speakeasy/issuesでissueを作成してください。

speakeasy v2.0.0b8