CheckPlz

CheckPlz は、人気の ThreatCheck および GoCheck ツールを Rust で移植したものです。AMSI（Antimalware Scan Interface）と Windows Defender を活用しながら、ファイルの潜在的な脅威をスキャンするように設計されています。悪意のあるコンテンツを高精度に特定し、包括的な分析を提供することで、CheckPlz は強化された効率的なファイルスキャン体験を提供します。

主な機能

AMSI 統合: 脅威検出のための正確なバッファスキャンを実行します。
バイナリサーチによる脅威の特定: 検出を引き起こすファイルのセクションを正確に特定します。
Hex ダンプ分析: 詳細な16進数およびASCIIダンプで悪意のあるコンテンツを視覚化します。
デバッグサポート: 詳細な出力を有効にして、より深い洞察を得られます。
カスタマイズ可能な出力: 生の出力または色付きの人間に優しいターミナル出力を選択できます。

仕組み

AMSI スキャン:
- AMSI コンテキストを初期化します。
- ファイルの内容とバッファを脅威についてスキャンします。
- 脅威が検出された場合、バイナリサーチを実行して悪意のあるセグメントを特定します。
Windows Defender スキャン:
- MpCmdRun.exe を呼び出してファイルをスキャンします。
- 出力を分析して脅威を検出します。
- 脅威が見つかった場合、バイナリサーチを実行します。
バイナリサーチ:
- ファイルのセグメントを再帰的にスキャンして悪意のあるコンテンツを特定します。
- 詳細なログと結果を生成します。

インストール

リポジトリをクローンします:

git clone https://github.com/your-username/CheckPlz.git
cd CheckPlz

プロジェクトをコンパイルします:
```
cargo build --release
```
実行ファイルは target/release/checkplz.exe で利用可能になります。

使用方法

必要なオプションを指定して CheckPlz を実行します:


Usage: CheckPlz.exe [OPTIONS] --file <FILE>

Options:
  -f, --file <FILE>  Path to the file to scan
  -d, --debug        Enable debug mode
  -a, --amsi         Use AMSI scan
  -m, --msdefender   Use Windows Defender scan
  -r, --raw          Raw output without ANSI colors
  -h, --help         Print help
  -V, --version      Print version

コマンド例

AMSI を使用してファイルをスキャン:
```
checkplz --file malicious.exe --amsi
```
Windows Defender でファイルをスキャン:
```
checkplz --file suspicious.exe --msdefender
```
AMSI と Windows Defender の両方を使用し、デバッグ出力を有効にしてスキャンを実行:
```
checkplz --file unknown.exe --amsi --msdefender --debug
```
未加工の出力形式でスキャンを実行:
```
checkplz --file unknown.exe --amsi --raw
```

出力概要

スキャン結果: 検出状態、潜在的な悪意のあるオフセット、スキャンに要した時間を表示します。
Hex ダンプ分析: 疑わしいセクションの詳細なビューを表示し、悪意のあるバイトを強調します。