CheckPlz

CheckPlz는 널리 사용되는 ThreatCheck 및 GoCheck 도구의 Rust 버전으로, AMSI(Antimalware Scan Interface)와 Windows Defender를 활용하여 파일에서 잠재적 위협을 검사하도록 설계되었습니다. 악성 콘텐츠를 정밀하게 격리하고 포괄적인 분석을 제공함으로써 CheckPlz는 향상되고 효율적인 파일 검사 환경을 제공합니다.

주요 기능

• AMSI 통합: 위협 탐지를 위해 정확한 버퍼 스캔을 수행합니다.
• 이진 탐색 위협 격리: 파일에서 탐지를 유발하는 부분을 정밀하게 찾아냅니다.
• 헥사 덤프 분석: 상세한 16진수 및 ASCII 덤프로 악성 콘텐츠를 시각화합니다.
• 디버깅 지원: 심층적인 통찰을 위해 자세한 출력을 활성화합니다.
• 사용자 지정 출력: 원시(raw) 또는 색상이 적용된 사람 친화적인 터미널 출력 중에서 선택합니다.

작동 방식

1. AMSI 검사:

   • AMSI 컨텍스트를 초기화합니다.
   • 파일 콘텐츠와 버퍼에서 위협을 검사합니다.
   • 위협이 감지되면 이진 탐색을 수행하여 악성 세그먼트를 격리합니다.

2. Windows Defender 검사:

   • MpCmdRun.exe를 호출하여 파일을 검사합니다.
   • 출력을 분석하여 위협을 탐지합니다.
   • 위협이 발견되면 이진 탐색을 수행합니다.

3. 이진 탐색:

   • 파일의 세그먼트를 재귀적으로 검사하여 악성 콘텐츠를 찾습니다.
   • 상세한 로그와 결과를 생성합니다.

설치

1. 저장소를 클론합니다:
   root@kitploit:~

   git clone https://github.com/your-username/CheckPlz.git
   cd CheckPlz
   

2. 프로젝트를 컴파일합니다:
   root@kitploit:~

   cargo build --release
   

3. 실행 파일은 target/release/checkplz.exe에 생성됩니다.

사용 방법

원하는 옵션과 함께 CheckPlz를 실행합니다:

Usage: CheckPlz.exe [OPTIONS] --file <FILE>

Options:
  -f, --file <FILE>  Path to the file to scan
  -d, --debug        Enable debug mode
  -a, --amsi         Use AMSI scan
  -m, --msdefender   Use Windows Defender scan
  -r, --raw          Raw output without ANSI colors
  -h, --help         Print help
  -V, --version      Print version

예제 명령어

• AMSI를 사용하여 파일 검사:

  root@kitploit:~

  checkplz --file malicious.exe --amsi
  

• Windows Defender로 파일 검사:

  root@kitploit:~

  checkplz --file suspicious.exe --msdefender
  

• 디버그 출력을 활성화하고 AMSI와 Windows Defender를 모두 사용하여 검사:

  root@kitploit:~

  checkplz --file unknown.exe --amsi --msdefender --debug
  

• 원시 출력 형식으로 검사:

  root@kitploit:~

  checkplz --file unknown.exe --amsi --raw
  

출력 개요

• 검사 결과: 탐지 상태, 잠재적 악성 오프셋, 검사 소요 시간을 표시합니다.
• 헥사 덤프 분석: 의심스러운 섹션의 상세 보기와 함께 악성 바이트를 강조 표시합니다.