mandiant/speakeasyWindowsマルウェアエミュレーションフレームワーク：バイナリ、ドライバ、シェルコードをモデル化されたランタイムで実行し、API、プロセス/スレッド動作、ファイルシステム、レジストリ、ネットワークアクティビティをエミュレートして、構造化JSONレポートを生成します。
Speakeasyは、フルVMではなくモデル化されたWindowsランタイム上でバイナリ、ドライバ、およびシェルコードを実行するWindowsマルウェアエミュレーションフレームワークです。API、プロセス/スレッド動作、ファイルシステム、レジストリ、ネットワークアクティビティをエミュレートすることで、サンプルが現実的な実行パスを進み続けられるようにします。高速トリアージのためにspeakeasy CLIから実行するか、Pythonライブラリとして組み込んで構造化されたJSONレポートを利用できます。
背景情報: Mandiantの概要記事。
PyPIからインストール:
python3 -m pip install speakeasy-emulator
サンプルを実行し、高レベルのレポートフィールドを確認します（sample.dllを対象のファイルに置き換えてください）:
speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, filetype, entry_points: (.entry_points | length)}' report.json
{
"sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
"arch": "x86",
"filetype": "dll",
"entry_points": 3
}
このスニペットの実行可能な証明: doc/readme-quickstart-showboat.md。
--volumeを使用したホストファイルのマウントdoc/help.mdから始めてください。
それでも解決しない場合は、github.com/mandiant/speakeasy/issuesでイシューを開いてください。