Hacksguard 0.2 - 超高速TUIマルウェア解析ツール 🛡️

HacksguardはSOCアナリスト、脅威ハンター、リバースエンジニア向けに設計された、超高速でマルチスレッドな端末UI（TUI）静的解析ツールです。完全にRustで構築されており、直感的なダッシュボードを提供し、端末上でPortable Executable（PE）ファイルの迅速なトリアージと詳細な検査が可能です。

🌟 主な機能

• 超高速＆マルチスレッド: コア解析パイプライン（PE解析、YARAスキャン、エントロピー計算）が並行して実行されます。これにより、大きな実行ファイルを解析する場合でもUIの遅延がゼロになります。
• 高度なリスクスコアリング: Hacksguardは5つのヒューリスティック軸（エントロピー、疑わしいAPI、PE異常、文字列、パッキング）に基づいて0-100%のリスクスコアを自動的に算出し、インタラクティブなレーダーチャートで美しく可視化します。
• 統合YARAエンジン: borealクレートを採用し、HacksguardはローカルのYARAルール（例：Elastic protections-artifacts）を動的に読み込み、既知の脅威、パッカー、回避技術を検出します。
• 詳細なPE検査: PE形式の包括的な内訳。ヘッダー、セクション、インポート（重要度別に分類）、エクスポート、セキュリティ緩和策（ASLR、DEP、CFG）、Authenticode検証を含みます。
• 視覚的エントロピーグラフ: 専用のエントロピータブで、ファイルのシャノンエントロピー分布をスパークラインでプロットし、アナリストが暗号化またはパックされたペイロードを瞬時に視覚的に特定できます。
• 自動デコード文字列: 文字列（IP、URL、レジストリキー）を自動的に抽出・分類します。Base64アルファベットに一致する疑わしい文字列は、インターフェース上でその場でデコードされます。
• 内蔵逆アセンブラ＆16進数ビュー: iced-x86統合によりエントリポイントの生のx86/x64オペコードを検査したり、内蔵の16進ダンプビューアで生のバイトを詳しく調べることができます。
• オーバーレイ検出: バイナリの末尾に追加された隠しデータを自動的に検出します。これはドロッパーや悪意のあるインストーラで一般的に使用される手法です。
• CLIモード / CI/CD対応: hacksguard --json <file> を実行すると、端末UIをバイパスし、完全な解析レポートを構造化JSONオブジェクトとしてエクスポートし、SIEM/SOAR統合に使用できます。

📦 インストール

ソースからビルド

RustとCargoがインストールされていることを確認し、以下を実行してください：

git clone https://github.com/Rhacknarok/hacksguard.git
cd hacksguard
cargo build --release

コンパイルされたバイナリは target/release/hacksguard にあります。

Nixpkgs

NixまたはNixOSユーザー向けに、Nixpkgsでパッケージが利用可能です。最新のリリースはunstableチャンネルにのみ存在する可能性があることに注意してください。

$ nix-env -iA nixos.hacksguard

🚀 使い方

解析したい実行ファイルのパスを指定してHacksguardを実行します：

cargo run --release -- <path/to/binary.exe>

キーボードショートカット

• Tab / →: 次のタブ
• Shift+Tab / ←: 前のタブ
• ↑ / ↓ / k / j: スクロール
• PageUp / PageDown: 高速スクロール
• q / Esc: 終了

依存関係

• ratatui & crossterm - TUI rendering
• goblin - PE/ELF parsing
• boreal - Pure Rust YARA engine
• iced-x86 - Disassembler

🔗 関連プロジェクト

• Elastic Protections Artifacts - YARA rules

📸 スクリーンショット

概要

PEヘッダー

セクション

インポート

逆アセンブル

16進数表示

文字列

エントロピー

アナリストガイド