Speakeasy

Speakeasy는 전체 VM 대신 모델링된 Windows 런타임에서 바이너리, 드라이버 및 셸코드를 실행하는 Windows 악성코드 에뮬레이션 프레임워크입니다. API, 프로세스/스레드 동작, 파일 시스템, 레지스트리 및 네트워크 활동을 에뮬레이트하여 샘플이 현실적인 실행 경로를 계속 따라갈 수 있도록 합니다. 빠른 분류를 위해 speakeasy CLI에서 실행하거나 Python 라이브러리로 임베드하여 구조화된 JSON 보고서를 소비할 수 있습니다.

배경 정보: Mandiant의 개요 게시물.

빠른 시작

PyPI에서 설치:

python3 -m pip install speakeasy-emulator

샘플을 실행하고 상위 수준 보고서 필드를 확인합니다(sample.dll을 대상으로 바꾸세요):

speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, filetype, entry_points: (.entry_points | length)}' report.json

{
  "sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
  "arch": "x86",
  "filetype": "dll",
  "entry_points": 3
}

이 스니펫에 대한 실행 가능한 증명: doc/readme-quickstart-showboat.md.

문서 지도

여기서 시작

• 설치 및 Docker 사용법
• Python 라이브러리 사용법
• 도움말 및 문제 해결
• 문서 색인

CLI 사용법

• CLI 참조
• CLI 분석 레시피
• CLI 환경 재정의
• CLI 실행 제어
• CLI 도움말 스냅샷 (showboat)

보고서, 설정 및 런타임 동작

• 설정 설명
• 보고서 설명
• 메모리 관리
• 제한 사항

디버깅 및 확장

• GDB 디버깅 참조
• GDB 세션 (showboat)
• --volume으로 호스트 파일 마운트
• API 핸들러 추가
• 예제 디렉토리
• Speakeasy 2 워크스루 개요

질문 및 도움말

doc/help.md에서 시작하세요.

여전히 도움이 필요하시면 github.com/mandiant/speakeasy/issues에서 이슈를 열어주세요.