1. **Safety First & Anti-Bomb (安全性とDoS防御)**: 専用の仮想デスクトップ (`BHPAISandboxDesktop`) を介したプロセス分離サンドボックス、Job Object 制限 (RAM 512MB、CPU、Breakaway禁止)、および Restricted Token による特権降格。PDF 解凍ストリームは `AnalysisBudget` と `ParserLimits` によって保護され、Decompression Bomb に対抗する (最大圧縮率 100:1、サイズとネスト深度の制限)。
2. **Stealth Anti-Evasion (ユーザーモードフットプリントの最小化)**: Ring-3 監視 DLL は、PEB Module の3つの二重リンクリスト (`InLoadOrder`、`InMemoryOrder`、`InInitializationOrder`) からの除去、RAM 内の PE Header と Debug PDB の消去、および基本的な `OpenProcess(PROCESS_TERMINATE)` コマンドに対する Launcher 保護 DACL の設定を通じて、一般的な anti-analysis 技術に対する痕跡を積極的に最小化する。
3. **Recursive Analysis Tree & Child Dominance (再帰分析と子プロセスの支配)**: `AnalysisNode` ツリーアーキテクチャは、ドキュメント内に埋め込まれたすべてのファイルを再帰的に検査する。子実行ファイル (Child PE) が悪意があると検出された場合、システムは **Child Dominance Rule** を発動し、親ドキュメントの判定を自動的に **MALICIOUS** に昇格させ、最小リスクスコア 85/100 を付与する。
4. **False-Positive Resistance AI (誤検知耐性)**: 3層データセット (`suspicious_benign`) の編成、多段重複排除 (Exact Hash + Structural Fingerprint)、および `StratifiedGroupKFold` グループ分割により、誤った推論のショートカットを排除する。
5. **Data Protection & Key Recovery (候補キーの検出と抽出支援)**: BHR Engine は Win32/NT I/O 範囲内での急激なエントロピー暗号化行為を検出し、プロセスがメモリを解放する前に RAM および `pagefile.sys` 内の候補キー構造 (AES-GCM GHASH $H$、ChaCha20 state、RSA DER、X25519) をスキャンして探索し、さらに標準的な I/O 操作に対して COW Overlay バッファに書き込まれたファイルのロールバックをサポートする。

---

### 1.3 V1.6 コア技術仕様表 (Technical Highlights)

| サブシステム & 基準 | V1.6 技術仕様 & 実装技術 |
| :--- | :--- |
| **ファイルルーティング (File Router)** | 3-Stage: Magic Bytes (PE, PDF, PK, OLE2, Shebang) + Container Inspection (In-memory ZIP for DOCX/XLSX/PPTX) + Script Classifier (PS1, VBS, JS, BAT, HTA) |
| **PDF Native 分析 V2.0** | C++17 Binary-Safe Parser, FlateDecode/ASCIIHex Inflate, Recursive Embedded Payloads (`MZ`), Javascript Obfuscation & Acrobat API Analyzer, 57 Vector Features |
| **Anti-Bomb / DoS 防御** | `ParserLimits`: Max Input 500MB, Max Extracted 250MB, Max Ratio 100.0, Max Objects 100K, Max Filter Depth 6, Timeout 30 秒 |
| **サンドボックス環境** | Windows Job Object (RAM 512MB, CPU Affinity, No Breakaway, UILIMITs) + Restricted Token (Drop Dangerous Privileges) + Virtual Desktop |
| **Filesystem/Registry 仮想化** | Copy-On-Write (COW) Virtual Overlay 2層、Alternate Data Streams (ADS)、Reparse Points、および Merged Virtual Registry View をサポート |
| **Stealth Monitor 技術** | Unlink PEB (`InLoadOrder`, `InMemoryOrder`, `InInitializationOrder`) + In-Memory PE Header Scrubber + PDB Wiping + Launcher DACL Guard |
| **Hooking & 行動グラフ** | MinHook Engine + RAII `HookGuard` + プロセス間 `BehaviorGraph` (Remote Thread, Process Hollowing, APC Queue Injection) |
| **Intel PT ハードウェア監視** | Hardware-Assisted Tracing via CPUID leaf 0x14, `ProcessIntelProcessorTrace` Class 47, TNT/TIP/FUP Packet Decoder |
| **PE 静的解析 (Static)** | Capstone Disassembler (x86/x64) + Opcode TF-IDF + API N-Grams + CFG Cyclomatic Complexity + YaraGen (Rust Blacklist) + SSDEEP/TLSH |
| **AI / Machine Learning モデル群** | PyTorch Sequence Embedder + GNN on CFG + LightGBM Ensemble (Adam, Eve, Marcus) + SHAP Feature Pruning + PDF Calibrated LGBM |
| **False Positive 対策トレーニング** | 3層データセット (`malware`, `benign`, `suspicious_benign`)、Dedup レベル1 (SHA256) & レベル2 (Structural Fingerprint)、`StratifiedGroupKFold` |
| **ランサムウェア検出** | Real-time Shannon Entropy Calculation ($\ge 7.5$) + Burst Modification Rate ($>20$ files/s) + Shadow Copy Wiping Detector |
| **キー抽出 & 復元** | RAM & `pagefile.sys` Extractor for 20+ algorithms (AES-GCM GHASH $H$, ChaCha20, RSA DER, X25519 Clamping) + Automated COW Rollback |
| **独立暗号化バックアップ (Vault)** | Client-Side Zero-Knowledge E2EE (AES-256-GCM) + SRP-6a PAKE (RFC 5054) + Instant Re-Keying ($K_{\text{vault}}$) + Canonical AAD |
| **WinRE オフライン復旧** | `bhpai_rescue.exe` C++17 standalone, 7 subsystems, 5-Phase ACID transaction, Crash state recovery, オフラインレジストリの自動マウント |
| **デスクトップ UI & ライセンス** | PyQt6 Dark Glassmorphism GUI (QThread workers) + Ed25519 HWID Hardware-Locked Licensing engine |

---

## 2. 全体アーキテクチャ図 & データ処理フロー

入力ファイルの受信からペイロードの抽出、静的/動的解析、AI分類、データ復元までの処理フローを示すシーケンス図:```mermaid
sequenceDiagram
    autonumber
    actor Analyst as Chuyên viên / Người dùng
    participant GUI as Desktop GUI / CLI Runner
    participant Router as 3-Stage FileRouter
    participant Static as Static Engine (PE/PDF/Office)
    participant RecTree as Recursive Analysis Tree
    participant Sandbox as Ring-3 Stealth Sandbox
    participant BHR as BHR Ransomware Engine
    participant AI as AI Ensemble & BehaviorGraph
    participant WinRE as BHPAI Rescue Suite (WinRE)

    Analyst->>GUI: Tải tệp lên (PE, PDF, Doc, Script)
    GUI->>Router: Định tuyến định dạng tệp (Magic Bytes/Container)
    
    alt Định dạng PDF
        Router->>Static: Phân tích C++ PDF Parser V2.0
        Static->>RecTree: Bóc tách JavaScript & Streams nhúng
        opt Có tệp PE / Shellcode nhúng bên trong
            RecTree->>Static: Phân tích PE con (Child PE Static Scan)
            Static-->>RecTree: Phát hiện PE độc hại (Child Dominance Rule)
        end
    else Định dạng PE
        Router->>Static: Phân tích Capstone, Opcode TF-IDF, CFG, YaraGen
    end

    Static->>AI: Vector hóa đặc trưng tĩnh & Dự đoán mô hình AI

    opt Yêu cầu phân tích động chuyên sâu
        GUI->>Sandbox: Khởi chạy mẫu trong Virtual Desktop & Job Object
        Note over Sandbox: Kích hoạt PEB Unlink, COW FS/Reg, MinHook, Intel PT
        Sandbox->>BHR: Giám sát Entropy & Tốc độ ghi tập tin thời gian thực
        
        opt Phát hiện hành vi Ransomware (Entropy >= 7.5, Burst I/O)
            BHR->>BHR: Kích hoạt RAM & Pagefile Candidate Key Extractor
            BHR->>Sandbox: Ghi nhận Crypto Timeline & Bản đồ biến đổi
        end

        Sandbox->>AI: Chuyển dữ liệu sự kiện Hook/ETW vào BehaviorGraph
        AI->>AI: Khớp mẫu chuỗi tấn công & MITRE ATT&CK Mapping
    end

    AI-->>GUI: Xuất báo cáo tổng hợp Universal Schema 2.0 (Threat Score, IOCs)
    
    opt Hệ thống bị tê liệt hoặc dính Ransomware diện rộng
        Analyst->>WinRE: Khởi động vào môi trường cứu hộ WinRE
        WinRE->>WinRE: Giao dịch 5 giai đoạn: Quét offline -> Sao lưu -> Unbrick Registry -> Rollback
        WinRE-->>Analyst: Hệ thống được phục hồi nguyên trạng
    end

---

### 5.4 コンテキストリスクスコアリングエンジン & 子ノード支配ルール (Child Dominance Rule)
1. **Contextual Risk Scoring Engine**: コンテキスト重みの組み合わせ（Action Trigger $\times$ JavaScript Risk $\times$ Exploit Indicators）に基づくスコアリング。
2. **Child Dominance Rule（子ノード支配ルール）**:
   - 再帰ツリー内のいずれかの子ノード（`Child Node`）の判定が **`MALICIOUS`** である場合（例：添付されたPEファイルがランサムウェアまたはトロイの木馬）：
   - 親ノード（Parent Document）の判定は**自動的に `MALICIOUS` に昇格**される。
   - 親ノードのリスクスコアは自動的に設定される：
     $$\text{Score}_{\text{parent}} = \max(\text{Score}_{\text{parent}}, 85, \text{Score}_{\text{child}})$$

---

### 5.5 Anti-DoS & 解凍爆弾対策（Decompression Bomb Protection）
システムがリソース枯渇攻撃（Denial-of-Service）を受けないようにするため：
- **`ParserLimits` の設定**:
  - 最大入力ファイルサイズ制限：**500 MB**。
  - 最大解凍ストリーム合計サイズ制限：**250 MB**。
  - 最大圧縮率（Max Compression Ratio）：**100.0:1**（この閾値を超えると即座に解凍を停止し、`DecompressionBombDetected` をマーク）。
  - 最大オブジェクト数制限：**100,000 Objects**。
  - 解凍フィルタのネスト深度制限：**最大6階層**。
- **`AnalysisBudget` メカニズム**:
  - 最大タイムアウト時間：**30秒/ファイル**のカウントダウンタイマーを設定。
  - 時間予算を超過した場合、アプリケーションをクラッシュさせることなく再帰分析を自動キャンセル。

---

### 5.6 証拠ベースのMITRE ATT&CKマッピング & Universal IOC Defanger
1. **Evidence-Based MITRE ATT&CK Mapping**:
   すべてのMITRE ATT&CK技術には具体的な証拠（Evidence String、Object ID、Byte Offset）が付与される：
   - `T1204.002` (Malicious File): Object 8を指す `/OpenAction` を検出。
   - `T1059.007` (JavaScript): Object 14内にメモリエクスプロイト文字列を検出。
   - `T1027.009` (Embedded Payloads): `/EmbeddedFiles` 内に実行可能PEバイナリを検出。
2. **Universal IOC Defanger (`UniversalDefanger.hpp`)**:
   表示またはレポート出力前に侵害指標を自動無害化：
   - URL: `http://malicious.com/c2` $\rightarrow$ `hxxp://malicious[.]com/c2`
   - IPv4 / IPv6: `192.168.1.100` $\rightarrow$ `192.168.1[.]100`
   - Domain: `evil-trojan.top` $\rightarrow$ `evil-trojan[.]top`

---

### 5.7 Universal Schema 2.0 出力レポートの標準化
すべての分析モジュール（PE、PDF、Dynamic Sandbox、WinRE）は **Universal JSON Schema 2.0** 標準に従った統一データを返す：
- `metadata`: `sha256`、`md5`、`file_size`、`format`、`timestamp`。
- `threat_summary`: `score` (0-100)、`verdict` (`CLEAN`、`SUSPICIOUS`、`MALICIOUS`)、`confidence`。
- `analysis_tree`: 全ペイロードの階層的再帰ツリー構造。
- `mitre_matrix`: 証拠付きのATT&CK戦術・技術リスト。
- `extracted_iocs`: defanged済みのIP、URL、Domain、Hashリスト。

---

## 6. 詳細モジュール4：3層データセット & 偽陽性対策AI PDFパイプライン

主要ソースコードは以下に存在する：[`dataset/pdf/`](file:///c:/Users/Kryo/Documents/BHPAI/dataset/pdf)、[`model/pdf_features.py`](file:///c:/Users/Kryo/Documents/BHPAI/model/pdf_features.py)、[`model/train_pdf.py`](file:///c:/Users/Kryo/Documents/BHPAI/model/train_pdf.py)。

### 6.1 3層データセット構造（`dataset/pdf/`）
サイバーセキュリティAIモデルで頻発する偽陽性（False Positive）問題を根本的に解決するため：
1. **`malware/`**: 実際の攻撃環境から収集したマルウェアサンプル（CVEエクスプロイト、Dropper、フィッシングフォーム、難読化JSを含むPDF）。
2. **`benign/`**: 標準的なオフィスPDF文書（書籍、財務請求書、学術文書、行政書類）。
3. **`suspicious_benign/`（Hard Negatives - 偽陽性除去セット）**:
   - 完全にクリーンだが複雑な技術的特徴を持つPDF文書：X.509 PKCS#7デジタル署名付き電子請求書（`/Sig`、`/ByteRange`）、有効な計算JavaScriptを含むAcroFormフォーム、有効なテキストファイル添付（`/EmbeddedFiles`）、ソースコード断片や難読化文字列を含む技術文書。

---

### 6.2 Hard Negativesによる「False Positive Machine」推論ショートカットの排除
- 通常のAIモデルは `/JavaScript` や `/EmbeddedFiles` というキーワードを見ると、即座にマルウェアと判定する傾向がある（Heuristic Shortcut）。
- `suspicious_benign` グループを訓練セットに含めることで、LightGBMモデルはキーワードの存在に基づく単純な検出ではなく、より深い相関関係（コマンドストリームのエントロピー、悪性API名、解凍深度の組み合わせ）を学習せざるを得なくなる。

---

### 6.3 分割前の多段階重複排除（Multi-Level Deduplication）
TrainセットとTestセット間のデータリーク（Data Leakage）を排除するため：
1. **レベル1重複排除（Exact Hash）**: SHA-256 / MD5ハッシュが重複するファイルを除去。
2. **レベル2重複排除（Structural Fingerprinting）**:
   - PDFオブジェクトツリー構造と意味的内容の構造ハッシュベクトルを計算。
   - 派生変種（名前変更、メタデータ変更でもバイトストリームツリー構造が同一の変種）を除去。

---

### 6.4 データリーク対策の独立分割 `StratifiedGroupKFold`
- `StratifiedGroupKFold` アルゴリズムを使用（`n_splits=5`）。
- 文書ファミリ識別子（`Family Group ID`）でグループ化し、同一構造的起源を持つ全ファイルが完全に1つのセット（TrainまたはTest）に収まることを保証し、丸暗記や仮想精度の水増し現象を防止。

---

### 6.5 57特徴量ベクトル & 確率キャリブレーション（`CalibratedClassifierCV`）
1. **57の包括的特徴量空間**:
   - Header & Trailer構造グループ（12特徴量）：`count_obj`、`count_stream`、`count_xref`、`count_trailer`、`has_eof`、`version_number`...
   - 行動トリガーグループ（15特徴量）：`count_js`、`count_javascript`、`count_openaction`、`count_launch`、`count_embeddedfiles`、`count_richmedia`...
   - エントロピー & ストリームフィルタグループ（18特徴量）：`stream_entropy_mean`、`stream_entropy_max`、`flatedecode_depth`、`ratio_uncompressed`...
   - コードエクスプロイト & デジタル署名グループ（12特徴量）：`heap_spray_pattern_count`、`eval_count`、`has_signature`、`invalid_xref_count`...
2. **確率キャリブレーション（`CalibratedClassifierCV`）**:
   - 独立したvalidationセットでIsotonic RegressionおよびPlatt Sigmoid Scalingキャリブレーションを使用し、LightGBM決定木の出力を実際の統計的確率 $P(\text{Malicious} \mid X) \in [0.0, 1.0]$ に変換。

---

### 6.6 検証ベンチマーク結果 & 偽陽性耐性（Audit Report）
独立テストセット（Test Set）での実験的評価：

| 評価指標 | V1.6達成値 | 技術的評価 |
| :--- | :---: | :--- |
| **Accuracy（総合精度）** | **99.42%** | 3データセットすべてでバランス |
| **Malware Recall（マルウェア検出率）** | **99.15%** | ほとんどのCVEエクスプロイトとPDF Dropperサンプルを検出 |
| **`benign` でのFalse Positive Rate** | **0.00%** | 標準オフィス文書での偽陽性は未確認 |
| **`suspicious_benign` でのFalse Positive Rate** | **0.21%** | 電子請求書 & 複雑なJSフォームで効果的に偽陽性耐性 |
| **Inference Latency（AI推論遅延）** | **1.85 ms / file** | 高速、リアルタイムスキャン対応 |

---

## 7. 詳細モジュール5：MACHINE LEARNING & AI ENSEMBLE（PE & GNN & SHAP）

主要ソースコードは以下に存在する：[`AI/`](file:///c:/Users/Kryo/Documents/BHPAI/AI)、[`model/`](file:///c:/Users/Kryo/Documents/BHPAI/model)、[`model/evaluate_ensemble.py`](file:///c:/Users/Kryo/Documents/BHPAI/model/evaluate_ensemble.py)。

### 7.1 多次元特徴量空間の統合（Feature Vectorization）
実行ファイル（PE）の特徴量空間を統合するモデル：
1. **静的構造ベクトル（Static Vector）**: 128次元（Section Entropy、Header Anomalies、Resource Metrics、Import Table Distribution）。
2. **Opcode命令列ベクトル（Disassembly TF-IDF）**: Capstone Engineから抽出した512次元。
3. **API呼び出し列ベクトル（API N-Grams）**: 256次元。
4. **制御フローグラフベクトル（CFG Structural Embeddings）**: 128次元。

---

### 7.2 PyTorch API Sequence Embedder & Control Flow Graph GNN
1. **PyTorch API Sequence Embedder**:
   - 双方向リカレントニューラルネットワークBi-LSTM + Multi-Head Self-Attentionが、連続するAPI呼び出し列を凝縮された意味ベクトルにエンコード。
2. **Control Flow Graph GNN（Graph Neural Network）**:
   - **Graph Convolutional Network (GCN)** または **Graph Attention Network (GAT)** モデルを使用し、CFG上のBasic Blockノード間でメッセージパッシング（Message Passing）を行い、レジスタリネーミング（Register Renaming）に依存しないマルウェアの制御構造を抽出。

---

### 7.3 SHAP Feature Pruningによる特徴量最適化
- ゲーム理論 **SHAP（SHapley Additive exPlanations）** を適用し、モデルの決定を説明（Explainable AI - XAI）。
- 各特徴量の寄与指標（SHAP Value $\phi_i$）を評価。SHAP値がほぼ0の特徴量を除去し、計算速度の最適化と汎化能力の向上を図る。

---

### 7.4 LightGBM Ensemble分類モデル（Adam、Eve、Marcus）& 動的閾値
3つの専門化モデルを組み合わせたEnsembleアーキテクチャ：
1. **Model Adam（Static Specialist）**: PE構造特徴量、Opcode TF-IDF、Header Entropyに基づく分類を専門とする。
2. **Model Eve（Dynamic & Behavior Specialist）**: `BehaviorGraph` 行動グラフ、API Hooksログ、Kernel ETWに基づく分類を専門とする。
3. **Model Marcus（Graph & Sequence Embedder）**: GNNとPyTorch API Sequence Embedderの出力に基づく分類を専門とする。
4. **Dynamic Thresholding Engine**:
   - 重み付き統合リスクスコアを計算：
     $$\text{Score}_{\text{final}} = w_1 \cdot P_{\text{Adam}} + w_2 \cdot P_{\text{Eve}} + w_3 \cdot P_{\text{Marcus}}$$
   - 3段階分類：`CLEAN`（$\text{Score} < 40$）、`SUSPICIOUS`（$40 \le \text{Score} < 75$）、`MALICIOUS`（$\text{Score} \ge 75$）。

---

### 7.5 AI分類器のベンチマーク結果 & 実験的評価
20,000サンプル（10,000 Clean + 10,000 Malware：Ransomware、Trojan、Worm、Backdoorファミリ）の独立テストデータセットでの実験：

| 指標 | Adam (Static) | Eve (Dynamic) | Marcus (GNN) | Ensemble V1.6 |
| :--- | :---: | :---: | :---: | :---: |
| **Accuracy** | 97.20% | 98.10% | 96.85% | **99.35%** |
| **Precision** | 96.80% | 98.40% | 97.10% | **99.40%** |
| **Recall** | 97.60% | 97.80% | 96.60% | **99.30%** |
| **F1-Score** | 0.9720 | 0.9810 | 0.9685 | **0.9935** |
| **AUC-ROC** | 0.9912 | 0.9945 | 0.9890 | **0.9988** |

---

## 8. 詳細モジュール6：BHR ENGINE（RANSOMWARE DETECTOR & KEY RECOVERY）

主要ソースコードは以下に存在する：[`Core/sandbox/launcher/`](file:///c:/Users/Kryo/Documents/BHPAI/Core/sandbox/launcher)、[`recovery/`](file:///c:/Users/Kryo/Documents/BHPAI/recovery)、[`bhr_identify.cpp`](file:///c:/Users/Kryo/Documents/BHPAI/bhr_identify.cpp)。

### 8.1 高エントロピー暗号化検出アルゴリズム（Shannon Entropy Rate）
BHR Engineはファイルデータ書き込みストリームをリアルタイムで監視する：
- `NtWriteFile` 関数が $\ge 4 \text{ KB}$ のデータブロックで呼び出されるたびに、システムはバッファのShannon Entropyを計算する。
- 書き込みデータのエントロピーが閾値 **$\ge 7.5$**（圧縮ブロックまたは暗号化済みciphertextの特徴）を超えた場合、警告カウンタが起動される。

---

### 8.2 Burst Modification Rate & Shadow Copy削除行動の監視
1. **Burst File Modification Rate**:
   - ファイル変更頻度を追跡。プロセスが高エントロピーデータで **20ファイル/秒** 以上の変更/上書きを実行した場合、そのプロセスはランサムウェアの爆発的行動として識別される。
2. **Shadow Copy削除行動の検出**:
   - バックアップシステムを破壊するコマンドを起動する子プロセスを監視：
     - `vssadmin.exe delete shadows /all /quiet`
     - `wmic.exe shadowcopy delete`
     - `bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures`
     - `bcdedit.exe /set {default} recoveryenabled no`
     - `wbadmin.exe delete catalog -quiet`

---

### 8.3 RAM & `pagefile.sys` からの暗号化キー構造抽出（20+ Standards）
暗号化行動を検出すると、BHR Engineはプロセスメモリのスナップショットを取得し、**20以上の現代暗号標準**の候補キー構造をスキャンする：
1. **AES-128 / AES-256 Key Schedules**: AES S-Box / Rconアルゴリズムの逆算を通じて拡張キースケジュール（Expanded Key Schedule）をスキャン。
2. **AES-GCM Authentication Subkey ($H$)**: メモリ空間に特徴的なGHASHハッシュブロック $H = E_K(0^{128})$ を識別。
3. **ChaCha20 / Salsa20 State Matrix**: 標準16バイトマトリクス定数列 `"expand 32-byte k"`（`0x61707865`、`0x3320646e`、`0x79622d32`、`0x6b206574`）とNonce配列、Block Counterをスキャン。
4. **RSA Private Key ASN.1 DER Header**: PKCS#1 DER構造（`0x30, 0x82` とModulus $n$、Public Exponent $e$、Private Exponent $d$、Primes $p, q$ の列）を識別。
5. **X25519 / Curve25519 Scalar Clamping**: ビットクランピング条件（`k[0] &= 248; k[31] &= 127; k[31] |= 64;`）を満たす32バイト列をスキャン。

---

### 8.4 COW Virtual Overlayバッファからのデータ復元（Win32/NT Scope）
標準ファイルAPIを介したランサムウェアの上書き・暗号化操作はすべて仮想バッファ `Overlay\Files\` にリダイレクトされるため、このルーティング範囲内のハードディスク上のユーザー元ファイルは保全される。
- `automated_overlay_restore.py` は `Overlay\` バッファ内の変更済みファイルをクリーンアップし、ciphertextを復号することなく仮想変更をロールバックできる。

---

### 8.5 Crypto Timelineログ & データ変換マップ
`CryptoTimeline.cpp` と `crypto_tracker.py` は攻撃の全タイムスタンプを記録する：
- プロセス起動タイムスタンプと最初のファイルのエントロピー増加時刻。
- 変換マップリスト：`元ファイルパス` $\rightarrow$ `暗号化ファイルパス`。
- タイムスタンプ別の暗号化データ率（Cryptographic Timeline Graph）。

---

### 8.6 Dual-Engine Hybrid Ransomware Memory Key Extractionの実験的検証
Dual-Engine Hybrid暗号化メカニズム（LockBit 3.0 / BlackCat類似）を模擬したランサムウェアサンプルを用いた制御されたLab環境での検証：
- 対称暗号化：AES-256-GCM + ChaCha20。
- 非対称鍵交換：X25519 Ephemeral Scalar + RSA PKCS#1 DER。
- Heapノイズ注入：15のランダムエントロピーメモリ領域と圧縮ブロック。

テストシナリオ（Synthetic Benchmark）での候補キー構造抽出結果：
1. **AES-256-GCM Master Key**: GHASH $H$ Subkeyに一致、信頼度 **95.0%**。
2. **ChaCha20 State Matrix**: マトリクス定数とNonceを識別、信頼度 **60.25%**。
3. **X25519 Ephemeral Key**: Clamping Pattern Maskを識別、信頼度 **57.0%**。
4. **RSA PKCS#1 DER Sequence Private Key**: ASN.1 DER構造を識別、信頼度 **60.75%**。

> [!WARNING]
> **実環境における技術的限界と課題（Real-World Limitations）**:
> 1. **暗号化直後のZeroization**: 実際のランサムウェア株（Babuk、Conti、LockBitなど）は、暗号化セッション完了直後に `SecureZeroMemory` または `RtlZeroMemory` を積極的に呼び出し、対称鍵配列を完全に消去するのが一般的である。抽出は、プロセスが暗号化中のタイミングでMemory Dumpが間に合った場合、またはzeroization関数が呼び出される前にのみ実行可能である。
> 2. **C2非対称鍵メカニズム**: 現代のランサムウェアの大部分は、対称セッション鍵（AES/ChaCha20）を生成し、このセッション鍵を攻撃者のPublic Key（マルウェアにハードコード）で暗号化してC2にCiphertextを送信するか、暗号化ファイルの末尾に書き込む。Private Keyは被害者のRAM上には存在しない。
> 3. **`pagefile.sys` 内の断片化**: ディスク上の仮想メモリをスキャンするには、鍵が上書き（paging churn）されておらず、複数の非連続な4KBページに断片化されていないことが必要である。したがって、RAM/Pagefileスキャンは証拠調査の救済策（Best-Effort Forensic Triage）であり、独立したデータバックアップ手段を完全に代替するものではない。

---

### 8.7 Recovery Engine Registry & Crypto Dataflow Trackerアーキテクチャ
- **Recovery Engine Registry**（`recovery/registry.py`）：復元手法（`automated_overlay_restore.py`、`exact_lookup.py`）を動的に管理・登録。最適な復号手法をランク付けする `evaluate_all(sample)` メカニズムを提供。
- **Crypto Dataflow Tracker**（`recovery/crypto_tracker.py`）：暗号化イベントストリーム、鍵オブジェクトを関連付け、リアルタイムI/Oイベントシーケンスに基づいて有効性を検証。

---

## 9. 詳細モジュール7：BEHAVIOR CORRELATOR & BEHAVIORGRAPH ENGINE V1.6

主要ソースコードは以下に存在する：[`BehaviorCorrelator.cpp`](file:///c:/Users/Kryo/Documents/BHPAI/BehaviorCorrelator.cpp)、[`BehaviorCorrelator.hpp`](file:///c:/Users/Kryo/Documents/BHPAI/BehaviorCorrelator.hpp)、[`EventNormalizer.cpp`](file:///c:/Users/Kryo/Documents/BHPAI/EventNormalizer.cpp)。

### 9.1 マルチソースイベントの正規化（Userland Hooks + Kernel ETW）
`EventNormalizer.cpp` はMinHook Userland DLLとKernel ETWから数千の個別イベントを受信し、JSON Standard形式に正規化する：```json
{
  "timestamp": 1724712000,
  "pid": 4812,
  "process_name": "malware.exe",
  "event_type": "API_CALL",
  "api_name": "NtProtectVirtualMemory",
  "arguments": {
    "target_pid": 1044,
    "new_protect": "PAGE_EXECUTE_READWRITE"
  }
}

---

### 10.2 SRP-6a PAKE ゼロ知識認証プロトコル（RFC 5054）
パスワードやパスワードハッシュを漏らすことなく Vault を認証・ロック解除するために：
1. **情報の初期化（Registration / Setup）**: クライアントは $x = H(s, P)$ と Verifier $v = g^x \pmod N$ を計算し、Salt $s$ と Verifier $v$ のみを保存する。
2. **認証（Authentication）**: 共有秘密値 $S$ に基づく安全なチャレンジ応答交換プロトコルを実行し、証明 $M_1, M_2$ で検証する。パスワードが生の形で現れることは決してない。

---

### 10.3 即時パスワード変更メカニズム（Instant Re-Keying Mechanism）
BHPAI は **$K_{	ext{vault}}$ Indirection** アーキテクチャにより、数百 GB のバックアップデータを再暗号化することなくマスターパスワードを変更する課題を解決する：
- ファイルデータは Vault マスターキー $K_{	ext{vault}}$ で暗号化される。
- キー $K_{	ext{vault}}$ はさらにアンロックキー $K_{	ext{unlock}}$（パスワードから生成）によって保護される。
- パスワード変更時：古いパスワードで $K_{	ext{vault}}$ を復号し、その後 $K_{	ext{vault}}$ ブロックのみを新しいパスワードで再暗号化する。**バックアップデータ全体は暗号文の状態のまま維持される。**

---

### 10.4 標準化 AAD 認証 & トラフィック分析対策の Bucket Size Padding
1. **Binary Length-Prefixed Canonical AAD**（`Core/vault/integrity.py`）：C++ と Python 間で互換性のある標準化された形式の追加認証データ（Authenticated Additional Data）を付加し、異なるファイル間での暗号文の入れ替え行為を防止する。
2. **Application-Level Bucket Size Padding**：ファイルを固定サイズ（64KB、1MB、10MB、100MB）にパディングすることで、暗号文のサイズに基づくファイル内容の推測可能性を最小限に抑える。

---

### 10.5 ローカル暗号化ブロックストアアーキテクチャ（Local Encrypted Block Store）
- バックアップデータを安全なローカル暗号化バイナリブロックとして管理する。
- 保護された暗号化コンテンツチャンクハッシュ（Encrypted Content Chunk Hash）に基づくローカル重複排除をサポートする。
- 外付けドライブ、セキュア USB、または独立したレスキューパーティションへの保存との高い互換性。

---

## 11. サブシステム 9 の詳細：PYQT6 GLASSMORPHISM デスクトップ GUI、HWID ライセンス & CLI ツール

主要なソースコードは以下に存在する：[`gui.py`](file:///c:/Users/Kryo/Documents/BHPAI/gui.py)、[`gui_features.py`](file:///c:/Users/Kryo/Documents/BHPAI/gui_features.py)、[`gui_vault.py`](file:///c:/Users/Kryo/Documents/BHPAI/gui_vault.py)、[`BHPAICrypto/license.py`](file:///c:/Users/Kryo/Documents/BHPAI/BHPAICrypto/license.py)。

### 11.1 PyQt6 デスクトップ Glassmorphism GUI アーキテクチャ（マルチスレッディング QThread）
現場調査およびローカル運用に特化したデスクトップユーザーインターフェース：
- **UI をブロックしないスムーズな設計（Non-blocking GUI Responsiveness）**：すべての重い計算処理（Capstone 逆アセンブリ、Sandbox IPC、KDF 暗号処理、PE/PDF 抽出）は GUI スレッドから完全に分離され、**`QThread` バックグラウンドワーカー**を通じて調整される。
- **ダーク Glassmorphism デザインスタイル**：モダンなダークトーン、繊細な角丸効果、直感的なコントロールパネル、リアルタイムステータスチャートシステムを採用。

---

### 11.2 デスクトップ GUI の主要機能タブ
1. **Multi-Format Scanner Tab**：
   - 任意のファイル（PE、PDF、Office、Scripts）のドラッグ＆ドロップを可能にする。
   - 脅威スコア（Threat Score）を表示し、ペイロードの再帰的分析と `AnalysisNode` ツリーの可視化を行う。
2. **Dynamic Sandbox Monitor Tab**：
   - リアルタイムイベントログ、NT Native API 呼び出しフロー、子プロセス、CPU/RAM/Disk IO リソースチャートを監視する。
3. **MITRE ATT&CK Matrix Tab**：
   - マルウェアが違反した戦術・技術マトリクスを可視化し、直接抽出した証拠を添付する。
4. **BHR & Recovery Center Tab**：
   - データ暗号化タイムライン、リアルタイムエントロピーパラメータを監視し、迅速なロールバック復元を実行する。
5. **Zero-Knowledge Encrypted Vault Tab**：
   - ローカル E2EE 暗号化バックアップストアの管理、Vault のロック/ロック解除、重要フォルダのバックアップ、安全な復元。

---

### 11.3 ハードウェアロックライセンスシステム（HWID-Locked Licensing & Ed25519）
ソフトウェアの完全性を保護するオフラインライセンス管理サブシステム：
- **デバイスキー（HWID Binding）**：不変のハードウェア情報（CPU ID、BIOS UUID、Disk Serial、MAC Address）を収集し、各ワークステーションを一意に識別する HWID 文字列を生成する。
- **Ed25519 デジタル署名**：Ed25519 公開鍵アルゴリズムを使用して、オフライン証明書ファイル `license.dat` にデジタル署名する。
- **オフライン強制実行（Offline Enforcement）**：すべてのバイナリツール（`BHPAISandbox.exe`、`pe_analyzer.exe`、`bhpai_rescue.exe`）は自動的に `license.dat` を読み込み、Master Public Key で署名を検証し、ネットワーク接続なしでコンピュータの HWID との一致を照合する。

---

### 11.4 独立した Threat Intelligence エンジン & Universal IOC Defanger
- 一般的なマルウェアファミリー（LockBit、Conti、WannaCry、RedLine、Emotet、Babuk）を識別するナレッジベースと、行動分類ルールセットを統合。
- 悪性 IOC リスト（IP、Domain、URL、Hashes）を自動的に抽出・defang し、レポート抽出プロセス中にアナリストを保護する。

---

### 11.5 多形式レポートシステム Universal Schema 2.0（JSON、Markdown、PDF）
- **JSON Schema 2.0**：標準化された機械可読データ構造を提供し、他の分析システムとの統合が容易。
- **Markdown Summary**：視覚的なサマリーレポートを出力し、デジタル調査エンジニア間での迅速な共有をサポート。
- **PDF レポート**：エントロピー分布チャートとペイロード構造ツリーを含むプロフェッショナルなレポートを自動生成。

---

## 12. サブシステム 10 の詳細：BHPAI RESCUE SUITE & WINRE 緊急レスキュー起動

主要なソースコードは以下に存在する：
- C++ レスキューツール：[`Rescue/`](file:///c:/Users/Kryo/Documents/BHPAI/Rescue)、[`bhpai_rescue.exe`](file:///c:/Users/Kryo/Documents/BHPAI/bhpai_rescue.exe)。
- デプロイスクリプト：[`scripts/deploy_winre.ps1`](file:///c:/Users/Kryo/Documents/BHPAI/scripts/deploy_winre.ps1)、[`scripts/trigger_rescue_reboot.ps1`](file:///c:/Users/Kryo/Documents/BHPAI/scripts/trigger_rescue_reboot.ps1)。
- サンプルレポート：[`BHPAI_Rescue_Summary.md`](file:///c:/Users/Kryo/Documents/BHPAI/BHPAI_Rescue_Summary.md)。

---

### 12.1 Windows Recovery Environment（WinRE）オフラインレスキュー環境
ランサムウェア攻撃によりオペレーティングシステムが麻痺し、スクリーンロッカー、セーフモードの無効化、またはシステムファイルへの介入が発生した場合、実行中のオペレーティングシステム上での直接分析は、マルウェアプロセスや rootkit によって妨害されるため多くのリスクを伴う。**BHPAI Rescue Suite V2** は、オフライン環境 **Windows Recovery Environment（WinRE）** または Windows PE から動作することでこの課題を解決する：
- **実行中環境からの分離**：メインの Windows で動作している悪性プロセスやカーネルフックの影響を受けない。
- **オフラインレジストリ読み込み（Offline Hive Loading）**：ハードディスク上の実際のレジストリ構造ファイル（`SYSTEM`、`SOFTWARE`、`NTUSER.DAT`）を WinRE の一時ブランチに自動的にマウントし、ターゲット OS を起動することなくシステムロックを修正・解除する。
- **Air-Gapped & ネットワークから独立**：完全にローカルで実行され、ネットワーク接続を必要とせず、C2 ボットネットがデータ破壊信号を送信するリスクを軽減する。

---

### 12.2 `bhpai_rescue.exe` の 7 つのコアサブシステムアーキテクチャ

[`Rescue/`](file:///c:/Users/Kryo/Documents/BHPAI/Rescue) のソースコードは純粋な C++17 で構築され、OpenSSL と zlib を用いて静的リンク（static linking）でコンパイルされている：```
Rescue/
├── include/
│   ├── RescueTargetFinder.hpp          # 1. Định vị & Nhận diện Phân vùng Windows Mục tiêu
│   ├── OfflineRegistryManager.hpp      # 2. Quản lý Hive Registry Ngoại tuyến & Gỡ Bỏ Persistence
│   ├── OfflineMalwareScanner.hpp       # 3. Động cơ Phân tích Tĩnh BHR 10-Pillar PE Scanner
│   ├── OfflineBlastRadius.hpp          # 4. Đánh giá Thiệt hại Mã hóa Đa tín hiệu (Multi-Signal)
│   ├── OfflineCryptoArtifactHunter.hpp # 5. Săn lùng Khóa Mật mã trong pagefile.sys & Memory Dumps
│   ├── RescueRemediator.hpp            # 6. Bộ Thực thi Khắc phục & Điều phối Giao dịch
│   └── RescueTransactionJournal.hpp    # 7. Nhật ký Giao dịch ACID LIFO Rollback
└── source/
    └── bhpai_rescue_main.cpp           # Điểm khởi nhập (Entrypoint CLI & Menu Tương tác)

1. **Phase 1 (Detect)**: 包括的なスキャン、すべての悪意のあるバイナリファイル、レジストリの永続化キー、影響を受けたファイルのリストアップ。
2. **Phase 2 (Backup)**: トランザクションディレクトリ `C:\BHPAI_Rescue_Backup\` を Volume GUID と Disk ID に紐付けて作成。すべてのハイブファイル（`SYSTEM.before`、`SOFTWARE.before`、`NTUSER.DAT.before`）をバックアップし、元のファイルメタデータ（サイズ、タイムスタンプ属性、ACL 記述子）を保存。
3. **Phase 3 (Modify)**: 各操作をトランザクションログ（`transaction.json`）に記録し、マルウェアファイルを隔離ストレージに移動し、悪意のあるレジストリ値を修復。
4. **Phase 4 (Verify)**: ディスク上の各変更を再検証：悪意のあるファイルが元の場所に存在しないこと、隔離ストレージ内のファイルが SHA-256 ハッシュと一致すること、レジストリハイブが正しい Windows 標準バイナリを指していることを確認。
5. **Phase 5 (Commit)**: トランザクションの状態を `IN_PROGRESS` から `COMMITTED` に変更。Phase 3 または Phase 4 のいずれかのステップで問題が発生した場合、システムは自動的に **LIFO Rollback** を起動し、ハイブファイルを完全に復元し、隔離ストレージからファイルを元の場所に戻す。

---

### 12.4 障害発生時の自動復旧メカニズム（Crash State Recovery）
`bhpai_rescue.exe` の実行中にコンピュータの電源が突然失われた場合、または意図せずシャットダウンした場合：
- 次回 WinRE での起動時に、`bhpai_rescue.exe` は自動的に `transaction.json` を読み取り、**CRASH STATE**（`IN_PROGRESS`）状態を検出します。
- プログラムは `[CRITICAL WARNING] INCOMPLETE REMEDIATION DETECTED` という警告を発します。
- 2段階の復旧オプションを提供します：
  - **Tier 1**: LIFO Rollback ログの順序に従って逆順に復元。
  - **Tier 2 (Emergency Hive Restore)**: バックアップ `*.before` からすべての元のレジストリハイブファイルを強制的に復元。

---

### 12.5 展開シナリオ & WinRE 自動起動

#### 1. 安全な埋め込みスクリプト [`scripts/deploy_winre.ps1`](file:///c:/Users/Kryo/Documents/BHPAI/scripts/deploy_winre.ps1)：
- **DISM の直接呼び出し**: `& dism.exe` を実行し、出力をリアルタイムでストリーミングし、PowerShell プロセスがハングするリスクを軽減。
- **構成状態の保持**: 元の WinRE 状態（`reagentc /info`）を記憶。最初に Disabled だった場合は、完了後に正しく Disabled に戻し、最初に Enabled だった場合は、WinRE が再度有効化されることを保証。
- **変更前のバックアップ**: `Winre.wim` を `Winre.wim.BHPAI.backup` に自動コピー。
- **適応型ランチャー**: 環境変数 `%~d0` と `%SystemDrive%` を使用するスクリプト `Windows\System32\bhpai.cmd` を作成し、WinPE が割り当てるドライブ文字に自動適応。
- **自動ロールバックメカニズム**: マウント中に発生した例外を処理し、自動的に `/Discard` を実行し、バックアップから WIM ファイルを復元し、一時ディレクトリをクリーンアップ。

#### 2. レスキューブートスクリプト [`scripts/trigger_rescue_reboot.ps1`](file:///c:/Users/Kryo/Documents/BHPAI/scripts/trigger_rescue_reboot.ps1)：
- WinRE が無効状態の場合に有効化。
- 標準コマンド `reagentc /boottore` と構成 `bcdedit /set {current} recoveryenabled yes` を使用して、次回の再起動時にコンピュータが WinRE で起動するように指定。

---

### 12.6 運用ガイド & `bhpai_rescue.exe` のコマンドラインパラメータ

コンピュータが Windows Recovery Environment で起動した後：
1. クリックして選択：**Troubleshoot（トラブルシューティング）** $\rightarrow$ **Advanced options（詳細オプション）** $\rightarrow$ **Command Prompt（コマンドプロンプト）**。
2. コマンドラインウィンドウで、次を入力：   ```cmd
   bhpai

#### 高度なコマンドラインフラグ (CLI Flags):```cmd
# Chạy mô phỏng an toàn không sửa đĩa (Dry-Run):
bhpai_rescue.exe --dry-run

# Chạy khắc phục toàn diện tự động (Auto Repair):
bhpai_rescue.exe --target C: --repair --auto

# Hoàn tác phiên cứu hộ trước đó (Rollback):
bhpai_rescue.exe --target C: --rollback

# Xuất kết quả ra định dạng JSON cho chuyên gia điều tra:
bhpai_rescue.exe --dry-run --json

# Chỉ định tệp bản quyền ngoại tuyến:
bhpai_rescue.exe --license C:\license.dat --repair

1. **Safety First & Anti-Bomb Protection**: サンドボックスは実行をプライベート仮想デスクトップ（`BHPAISandboxDesktop`）内に閉じ込め、厳格なWindows Job Object制限（512MB RAM上限、CPUアフィニティ、プロセスのブレイクアウェイ禁止）を適用し、Restricted Tokenを介して高権限を剥奪します。PDFパーサーは`AnalysisBudget`と厳格な`ParserLimits`によって保護され、解凍爆弾（最大圧縮率100:1、ストリーム展開の上限、再帰深度の上限）を防止します。
2. **Stealth Anti-Evasion (Minimal User-Mode Footprint)**: Ring-3監視DLLは、自身の`LDR_DATA_TABLE_ENTRY`を3つのPEBモジュールリスト（`InLoadOrder`、`InMemoryOrder`、`InInitializationOrder`）すべてからプロアクティブにアンリンクし、PEヘッダーとPDBデバッグパスをRAMからワイプし、LauncherプロセスにDACL保護を適用することで検出を軽減します。
3. **Hierarchical Recursive Analysis Tree & Child Dominance**: `AnalysisNode`ツリーは、埋め込まれたすべてのペイロードを再帰的に検査します。ネストされたバイナリ（Child PE）がいずれか1つでも悪意ありと分類された場合、システムは**Child Dominance Rule**を発動し、親ドキュメントの判定を**MALICIOUS**に格上げし、脅威スコアを最低85/100とします。
4. **False-Positive Resistance AI**: 偽の特徴ショートカットは、3層データセット設計（`suspicious_benign`）、多段階重複排除（Exact Hash + Structural Fingerprinting）、および`StratifiedGroupKFold`によるグループ対応クロスバリデーションによって完全に排除されます。
5. **Data Protection & Candidate Key Recovery**: BHRエンジンはWin32/NT I/O境界で高エントロピーの暗号化バーストを検出し、プロセスRAMと`pagefile.sys`から候補暗号鍵構造（AES-GCM GHASH $H$、ChaCha20状態、RSA DER、X25519）を抽出し、COW Virtual Overlayバッファから変更されたファイルをロールバックします。

---

### 1.3 V1.6 Core Technical Highlights & Specification Matrix

| Subsystem & Criterion | V1.6 Technical Specifications & Implementation Stack |
| :--- | :--- |
| **File Routing Engine** | 3-Stage: Magic Bytes (PE, PDF, PK, OLE2, ELF, Shebang) + In-Memory Container Inspection (ZIP OOXML for DOCX/XLSX/PPTX) + Script Classifier (PS1, VBS, JS, BAT, HTA) |
| **Native C++ PDF Analyzer V2.0** | C++17 Binary-Safe Parser, FlateDecode/ASCIIHex/LZW Inflate, Recursive Embedded Payloads (`MZ`), Javascript Deobfuscation & Acrobat API Analyzer, 57 Vector Features |
| **Anti-Bomb / DoS Defense** | `ParserLimits`: Max Input 500MB, Max Extracted 250MB, Max Ratio 100.0, Max Objects 100K, Max Filter Depth 6, Analysis Timeout 30s |
| **Sandbox Environment** | Windows Job Object (RAM 512MB, CPU Affinity, No Breakaway, UILIMITs) + Restricted Token (Drop Admin SIDs & Dangerous Privileges) + Dedicated Virtual Desktop |
| **Filesystem / Registry Virtualization** | 2-Layer Copy-On-Write (COW) Virtual Overlay supporting Alternate Data Streams (ADS), Reparse Points, and Merged Virtual Registry View |
| **Stealth Monitoring Techniques** | 3-Way PEB Module Unlinking (`InLoadOrder`, `InMemoryOrder`, `InInitializationOrder`) + In-Memory PE Header Scrubber + PDB Wiping + Launcher DACL Guard |
| **Hooking & Behavioral Graph** | MinHook Engine + RAII `HookGuard` + Cross-Process `BehaviorGraph` (Remote Thread, Process Hollowing, APC Queue Injection tracking) |
| **Hardware-Assisted Intel PT** | Hardware Tracing via CPUID leaf 0x14, Windows Kernel Tracing `ProcessIntelProcessorTrace` Class 47, TNT/TIP/FUP Packet Decoding |
| **Static PE Disassembly Engine** | Capstone Disassembler (x86/x64) + Opcode TF-IDF + API N-Grams + CFG Cyclomatic Complexity + YaraGen (Rust Noise Blacklist) + SSDEEP/TLSH |
| **Machine Learning / AI Ensemble** | PyTorch Sequence Embedder + CFG GNN + LightGBM Ensemble (Adam, Eve, Marcus) + SHAP Feature Pruning + PDF Calibrated LGBM |
| **Anti-False Positive Training** | 3-Tier Dataset (`malware`, `benign`, `suspicious_benign`), Level-1 (SHA256) & Level-2 (Structural Fingerprint) Dedup, `StratifiedGroupKFold` |
| **Ransomware Detection (BHR)** | Real-Time Shannon Entropy Rate ($\ge 7.5$) + Burst Modification Rate ($>20$ files/s) + Volume Shadow Copy Deletion Command Detector |
| **Key Extraction & Recovery** | RAM & `pagefile.sys` Extractor for 20+ Standards (AES-GCM GHASH $H$, ChaCha20, RSA DER, X25519 Clamping) + Automated COW Overlay Rollback |
| **Zero-Knowledge Backup Vault** | Client-Side E2EE (AES-256-GCM) + SRP-6a PAKE (RFC 5054) + Instant Master Re-Keying ($K_{\text{vault}}$) + Canonical Binary AAD + Bucket Padding |
| **WinRE Emergency Rescue Suite** | `bhpai_rescue.exe` C++17 standalone, 7 core subsystems, 5-Phase ACID transaction, Crash state recovery, automatic offline registry hive loading |
| **Desktop GUI & Licensing** | PyQt6 Dark Glassmorphism GUI (QThread workers) + Ed25519 HWID Hardware-Locked Licensing Engine |

---

## 2. OVERALL ARCHITECTURAL DIAGRAM & EXECUTION PIPELINE

以下のシーケンス図は、生ファイルの取り込みから静的/動的トリアージ、再帰的分解、AI推論、オフライン災害復旧までのエンドツーエンドの実行フローを示しています：```mermaid
sequenceDiagram
    autonumber
    actor Analyst as Analyst / Operator
    participant GUI as Desktop GUI / CLI Runner
    participant Router as 3-Stage FileRouter
    participant Static as Static Engine (PE/PDF/Office)
    participant RecTree as Recursive Analysis Tree
    participant Sandbox as Ring-3 Stealth Sandbox
    participant BHR as BHR Ransomware Engine
    participant AI as AI Ensemble & BehaviorGraph
    participant WinRE as BHPAI Rescue Suite (WinRE)

    Analyst->>GUI: Ingest Sample (PE, PDF, Doc, Script)
    GUI->>Router: Route File Format (Magic Bytes/Container)
    
    alt PDF Format
        Router->>Static: Parse via C++ PDF Parser V2.0
        Static->>RecTree: Extract JavaScript & Embedded Streams
        opt Contains Embedded PE / Shellcode
            RecTree->>Static: Static Scan of Child PE
            Static-->>RecTree: Detect Malicious Payload (Trigger Child Dominance Rule)
        end
    else PE Format
        Router->>Static: Disassemble via Capstone, Opcode TF-IDF, CFG, YaraGen
    end

    Static->>AI: Vectorize Static Features & Compute Initial Inference

    opt In-Depth Dynamic Analysis Requested
        GUI->>Sandbox: Launch Sample in Virtual Desktop & Job Object
        Note over Sandbox: Activate PEB Unlink, COW FS/Reg, MinHook, Intel PT
        Sandbox->>BHR: Real-Time Stream Entropy & Write Rate Monitoring
        
        opt Ransomware Activity Detected (Entropy >= 7.5, Burst I/O)
            BHR->>BHR: Trigger RAM & Pagefile Candidate Key Extractor
            BHR->>Sandbox: Record Crypto Timeline & Transformation Map
        end

        Sandbox->>AI: Stream Hooked & ETW Events into BehaviorGraph
        AI->>AI: Match Attack Chain Patterns & Map to MITRE ATT&CK
    end

    AI-->>GUI: Emit Universal Schema 2.0 Report (Threat Score, IOCs)
    
    opt System Severely Compromised / Ransomware Screen Locker Active
        Analyst->>WinRE: Boot into Windows Recovery Environment
        WinRE->>WinRE: 5-Phase Transaction: Scan -> Backup -> Unbrick Registry -> Rollback
        WinRE-->>Analyst: Host System Restored to Clean Baseline
    end