生成されたコードを、Microsoft Learnのドキュメントと照らし合わせながら内容を確認し、自分でコンパイルします。
その後、GhidraやIDAなどで自分がコンパイルしたバイナリを解析し、元のソースコードと逆アセンブル・デコンパイル結果を比較します。

以下のループで勉強します。```text
LLMに小さなコードを作らせる
        ↓
ソースコードを読む・APIを調べる
        ↓
自分でビルドする
        ↓
Ghidraなどで解析する
        ↓
元のソースコードと比較する
        ↓
分からない部分だけLLMに質問する
        ↓
別の条件で再ビルドして比較する

## 2.3.2.2.2. 認証情報の悪用

### 2.3.2.2.2.1. 概要

**認証情報の悪用**とは、攻撃者が侵害されたシステム内で、盗まれた、あるいは不正に入手した認証情報（ユーザー名、パスワード、APIキー、トークン、ハッシュなど）を利用して、権限を昇格させたり、横方向に移動したり、追加のリソースにアクセスしたりする攻撃手法です。

### 2.3.2.2.2.2. 攻撃の仕組み

1. **認証情報の入手**: 攻撃者はフィッシング、ブルートフォース、メモリダンプ、設定ファイルの読み取りなどにより認証情報を入手します。
2. **認証情報の検証**: 入手した認証情報が有効かどうかを確認します。
3. **権限昇格・横展開**: 有効な認証情報を用いて、より高い権限を持つアカウントや他のシステムへアクセスします。
4. **目的の達成**: データ窃取、マルウェア展開、バックドア設置などを行います。

### 2.3.2.2.2.3. 主な手法

- **Pass-the-Hash (PtH)**: NTLMハッシュを直接使用して認証を行います。
- **Pass-the-Ticket (PtT)**: Kerberosチケットを窃取して再利用します。
- **Overpass-the-Hash**: NTLMハッシュからKerberosチケットを取得します。
- **Golden Ticket**: KRBTGTアカウントのハッシュを用いて任意のKerberosチケットを偽造します。
- **Silver Ticket**: サービスアカウントのハッシュを用いて特定サービスのチケットを偽造します。
- **Credential Dumping**: LSASSメモリやSAMデータベースから認証情報を抽出します。

### 2.3.2.2.2.4. 検出方法

- 異常なログオンタイプ（例: Type 3、Type 9）の監視
- 短時間における多数のアカウントへのログオン試行
- 通常と異なる時間帯・場所からのアクセス
- Kerberosチケットの異常な使用パターン
- LSASSプロセスへの不審なアクセス

### 2.3.2.2.2.5. 対策

- **多要素認証 (MFA)** の導入
- **最小権限の原則**の徹底
- **特権アカウントの分離**と定期的なパスワード変更
- **Credential Guard** や **LSA保護**の有効化
- **監査ログ**の収集とSIEMによる相関分析
- **定期的な脆弱性診断**とパッチ適用```text
このデコンパイル結果から変数の型を推定したいです。
型を判断するために、どの命令、API、参照先を確認すべきですか？

git clone https://github.com/example/security-scanner.git
cd security-scanner
pip install -r requirements.txt
pip install -e .

docker build -t security-scanner .
docker run --rm -v $(pwd):/scan security-scanner /scan

# 현재 디렉터리 스캔
security-scanner scan .

# 특정 디렉터리 스캔
security-scanner scan /path/to/project

# Git 저장소 스캔
security-scanner scan https://github.com/user/repo.git

# 콘솔 출력 (기본값)
security-scanner scan . --format console

# JSON 출력
security-scanner scan . --format json --output results.json

# HTML 보고서
security-scanner scan . --format html --output report.html

# SARIF 출력 (GitHub Code Scanning용)
security-scanner scan . --format sarif --output results.sarif

# 높은 심각도 이상만 표시
security-scanner scan . --severity high

# 심각도 임계값 설정 (CI/CD용)
security-scanner scan . --fail-on high

rules:
  sql-injection:
    enabled: true
    severity: critical
  xss:
    enabled: true
    severity: high
  hardcoded-secrets:
    enabled: true
    severity: critical

exclude:
  - "tests/**"
  - "vendor/**"
  - "*.min.js"

severity_threshold: medium

rules:
  custom-api-key:
    description: "하드코딩된 API 키 탐지"
    pattern: "api[_-]?key\\s*=\\s*['\"][a-zA-Z0-9]{32,}['\"]"
    severity: critical
    languages:
      - python
      - javascript
      - java

name: Security Scan
on: [push, pull_request]

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run security scanner
        run: |
          pip install security-scanner
          security-scanner scan . --format sarif --output results.sarif --fail-on high
      - name: Upload SARIF
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: results.sarif

security-scan:
  stage: test
  script:
    - pip install security-scanner
    - security-scanner scan . --format json --output gl-results.json --fail-on high
  artifacts:
    reports:
      sast: gl-results.json

from security_scanner import Scanner, Config

config = Config.from_file(".security-scanner.yml")
scanner = Scanner(config=config)

results = scanner.scan("/path/to/project")

for finding in results.findings:
    print(f"[{finding.severity}] {finding.rule_id}: {finding.message}")
    print(f"  File: {finding.file_path}:{finding.line_number}")

## 検出機能

- **ファイルレス**: ファイルレス攻撃の検出
- **プロセスインジェクション**: プロセスインジェクション技術の検出
- **難読化スクリプト**: 難読化されたスクリプトの検出
- **メモリ**: メモリ内の不審な活動の検出
- **持続性**: 持続性メカニズムの検出
- **横展開**: 横展開の試みの検出
- **権限昇格**: 権限昇格の試みの検出
- **認証情報アクセス**: 認証情報アクセスの試みの検出
- **偵察**: 偵察活動の検出
- **C2通信**: C2通信の検出
- **データ流出**: データ流出の試みの検出
- **影響**: 影響を与える活動の検出

## 検出ルール

### ファイルレス

- **ファイルレス - PowerShell**: PowerShellファイルレス攻撃の検出
- **ファイルレス - WMI**: WMIファイルレス攻撃の検出
- **ファイルレス - レジストリ**: レジストリファイルレス攻撃の検出
- **ファイルレス - スケジュールタスク**: スケジュールタスクファイルレス攻撃の検出
- **ファイルレス - サービス**: サービスファイルレス攻撃の検出
- **ファイルレス - ドライバ**: ドライバファイルレス攻撃の検出
- **ファイルレス - ブート**: ブートファイルレス攻撃の検出
- **ファイルレス - ログ**: ログファイルレス攻撃の検出
- **ファイルレス - その他**: その他のファイルレス攻撃の検出

### プロセスインジェクション

- **プロセスインジェクション - リモートスレッド**: リモートスレッド作成によるプロセスインジェクションの検出
- **プロセスインジェクション - アトミック**: アトミック操作によるプロセスインジェクションの検出
- **プロセスインジェクション - プロセスホローイング**: プロセスホローイングによるプロセスインジェクションの検出
- **プロセスインジェクション - スレッドハイジャック**: スレッドハイジャックによるプロセスインジェクションの検出
- **プロセスインジェクション - APC**: APCによるプロセスインジェクションの検出
- **プロセスインジェクション - その他**: その他のプロセスインジェクションの検出

### 難読化スクリプト

- **難読化スクリプト - PowerShell**: PowerShell難読化スクリプトの検出
- **難読化スクリプト - VBScript**: VBScript難読化スクリプトの検出
- **難読化スクリプト - JScript**: JScript難読化スクリプトの検出
- **難読化スクリプト - Python**: Python難読化スクリプトの検出
- **難読化スクリプト - その他**: その他の難読化スクリプトの検出

### メモリ

- **メモリ - シェルコード**: シェルコードの検出
- **メモリ - 反射型DLL**: 反射型DLLの検出
- **メモリ - プロセス**: 不審なプロセスの検出
- **メモリ - ドライバ**: 不審なドライバの検出
- **メモリ - その他**: その他の不審なメモリ活動の検出

### 持続性

- **持続性 - レジストリ**: レジストリ持続性の検出
- **持続性 - スケジュールタスク**: スケジュールタスク持続性の検出
- **持続性 - サービス**: サービス持続性の検出
- **持続性 - スタートアップ**: スタートアップ持続性の検出
- **持続性 - WMI**: WMI持続性の検出
- **持続性 - その他**: その他の持続性メカニズムの検出

### 横展開

- **横展開 - SMB**: SMB横展開の検出
- **横展開 - WMI**: WMI横展開の検出
- **横展開 - PowerShell**: PowerShell横展開の検出
- **横展開 - RDP**: RDP横展開の検出
- **横展開 - SSH**: SSH横展開の検出
- **横展開 - その他**: その他の横展開の検出

### 権限昇格

- **権限昇格 - UAC**: UACバイパスの検出
- **権限昇格 - トークン**: トークン操作の検出
- **権限昇格 - サービス**: サービス権限昇格の検出
- **権限昇格 - ドライバ**: ドライバ権限昇格の検出
- **権限昇格 - その他**: その他の権限昇格の検出

### 認証情報アクセス

- **認証情報アクセス - LSASS**: LSASSアクセスの検出
- **認証情報アクセス - SAM**: SAMアクセスの検出
- **認証情報アクセス - レジストリ**: レジストリ認証情報アクセスの検出
- **認証情報アクセス - ブラウザ**: ブラウザ認証情報アクセスの検出
- **認証情報アクセス - その他**: その他の認証情報アクセスの検出

### 偵察

- **偵察 - システム**: システム偵察の検出
- **偵察 - ネットワーク**: ネットワーク偵察の検出
- **偵察 - ユーザー**: ユーザー偵察の検出
- **偵察 - プロセス**: プロセス偵察の検出
- **偵察 - その他**: その他の偵察活動の検出

### C2通信

- **C2通信 - HTTP**: HTTP C2通信の検出
- **C2通信 - HTTPS**: HTTPS C2通信の検出
- **C2通信 - DNS**: DNS C2通信の検出
- **C2通信 - TCP**: TCP C2通信の検出
- **C2通信 - UDP**: UDP C2通信の検出
- **C2通信 - その他**: その他のC2通信の検出

### データ流出

- **データ流出 - HTTP**: HTTPデータ流出の検出
- **データ流出 - HTTPS**: HTTPSデータ流出の検出
- **データ流出 - DNS**: DNSデータ流出の検出
- **データ流出 - FTP**: FTPデータ流出の検出
- **データ流出 - その他**: その他のデータ流出の検出

### 影響

- **影響 - ランサムウェア**: ランサムウェア活動の検出
- **影響 - データ破壊**: データ破壊活動の検出
- **影響 - サービス停止**: サービス停止活動の検出
- **影響 - その他**: その他の影響活動の検出```text
このアセンブリを1命令ずつ説明するのではなく、
まずbasic blockごとの役割を整理して、私が自分で処理を推定できるようにヒントをください。

pip install secscan

git clone https://github.com/example/secscan.git
cd secscan
pip install -e .

docker pull secscan/secscan:latest
docker run --rm -v $(pwd):/scan secscan/secscan:latest /scan

# 현재 디렉터리 스캔
secscan scan .

# 특정 디렉터리 스캔
secscan scan /path/to/project

# 단일 파일 스캔
secscan scan app.py

secscan scan --git https://github.com/example/repo.git

# JSON 출력
secscan scan . --format json --output results.json

# HTML 보고서
secscan scan . --format html --output report.html

# SARIF 출력 (CI/CD용)
secscan scan . --format sarif --output results.sarif

Usage: secscan [OPTIONS] COMMAND [ARGS]...

Options:
  --version   버전 표시
  --help      도움말 표시

Commands:
  scan        소스 코드에서 보안 문제 스캔
  rules       사용 가능한 규칙 나열
  config      설정 관리

Usage: secscan scan [OPTIONS] TARGET

Options:
  -f, --format [console|json|html|sarif]  출력 형식 (기본값: console)
  -o, --output PATH                       출력 파일 경로
  -s, --severity [critical|high|medium|low|info]  최소 심각도 필터
  -l, --language TEXT                     특정 언어로 제한
  -e, --exclude TEXT                      제외할 패턴
  --git                                   대상이 Git 저장소임
  --config PATH                           설정 파일 경로
  --rules PATH                            사용자 정의 규칙 디렉터리
  --no-color                              색상 출력 비활성화
  -v, --verbose                           상세 출력
  --help                                  도움말 표시

# 높은 심각도 문제만 표시
secscan scan . --severity high

# Python 파일만 스캔
secscan scan . --language python

# 테스트 디렉터리 제외
secscan scan . --exclude "tests/*" --exclude "*.min.js"

# 사용자 정의 규칙 사용
secscan scan . --rules ./my-rules/

# 상세 출력과 함께 JSON 보고서 생성
secscan scan . --format json --output report.json --verbose

# .secscan.yml
severity: medium
format: console
exclude:
  - "tests/*"
  - "*.min.js"
  - "node_modules/*"
  - "vendor/*"
languages:
  - python
  - javascript
  - go
rules:
  custom_rules_dir: ./custom-rules
  disabled:
    - "SQL_INJECTION_001"
    - "XSS_002"

# custom-rules/my-rule.yml
id: CUSTOM_001
name: 하드코딩된 API 키
description: 소스 코드에 하드코딩된 API 키를 감지합니다
severity: high
languages:
  - python
  - javascript
pattern: '(?i)(api[_-]?key|apikey)\s*=\s*["\'][a-zA-Z0-9]{16,}["\']'
message: "하드코딩된 API 키가 발견되었습니다. 환경 변수를 사용하세요."
references:
  - https://owasp.org/www-community/vulnerabilities/Use_of_hard-coded_password

name: Security Scan
on: [push, pull_request]

jobs:
  secscan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: SecScan 실행
        uses: secscan/action@v1
        with:
          args: scan . --format sarif --output results.sarif
      - name: SARIF 업로드
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: results.sarif

secscan:
  image: secscan/secscan:latest
  script:
    - secscan scan . --format json --output results.json
  artifacts:
    reports:
      sast: results.json

pipeline {
    agent any
    stages {
        stage('Security Scan') {
            steps {
                sh 'secscan scan . --format json --output results.json'
            }
        }
    }
    post {
        always {
            archiveArtifacts artifacts: 'results.json'
        }
    }
}

$ secscan scan .

SecScan v1.0.0 - 보안 스캐너
스캔 대상: /path/to/project
스캔 시간: 2.34초

[CRITICAL] SQL Injection
  파일: app/database.py:45
  코드: cursor.execute("SELECT * FROM users WHERE id = " + user_id)
  설명: 사용자 입력이 SQL 쿼리에 직접 연결되었습니다
  수정: 매개변수화된 쿼리를 사용하세요

[HIGH] 하드코딩된 자격 증명
  파일: config/settings.py:12
  코드: PASSWORD = "secret123"
  설명: 소스 코드에 비밀번호가 하드코딩되어 있습니다
  수정: 환경 변수나 비밀 관리 도구를 사용하세요

발견된 문제: 2개 (Critical: 1, High: 1)

{
  "version": "1.0.0",
  "scan_time": "2024-01-15T10:30:00Z",
  "target": "/path/to/project",
  "duration": 2.34,
  "findings": [
    {
      "id": "SQL_INJECTION_001",
      "severity": "critical",
      "title": "SQL Injection",
      "file": "app/database.py",
      "line": 45,
      "code": "cursor.execute(\"SELECT * FROM users WHERE id = \" + user_id)",
      "message": "사용자 입력이 SQL 쿼리에 직접 연결되었습니다",
      "remediation": "매개변수화된 쿼리를 사용하세요"
    }
  ],
  "summary": {
    "total": 2,
    "critical": 1,
    "high": 1,
    "medium": 0,
    "low": 0,
    "info": 0
  }
}

from secscan import Scanner, Config

# 설정 초기화
config = Config(
    severity="high",
    languages=["python", "javascript"],
    exclude=["tests/*"]
)

# 스캐너 생성
scanner = Scanner(config)

# 디렉터리 스캔
results = scanner.scan_directory("/path/to/project")

# 결과 처리
for finding in results.findings:
    print(f"[{finding.severity.upper()}] {finding.title}")
    print(f"  {finding.file}:{finding.line}")
    print(f"  {finding.message}")

from secscan.formatters import BaseFormatter

class CustomFormatter(BaseFormatter):
    def format(self, results):
        output = []
        for finding in results.findings:
            output.append(f"{finding.severity}: {finding.title} ({finding.file}:{finding.line})")
        return "\n".join(output)

# 사용자 정의 포맷터 등록
scanner.register_formatter("custom", CustomFormatter())

# 상세 로깅 활성화
secscan scan . --verbose

# 디버그 출력
SECSCAN_DEBUG=1 secscan scan .

# 저장소 복제
git clone https://github.com/example/secscan.git
cd secscan

# 가상 환경 생성
python -m venv venv
source venv/bin/activate  # Windows: venv\Scripts\activate

# 개발 종속성 설치
pip install -e ".[dev]"

# 테스트 실행
pytest

# 린트 실행
ruff check .
mypy secscan

最初から答えを聞くのではなく、ヒント、確認ポイント、検証方法を聞く使い方がおすすめです。

### Agentic Reverse Engineering

2026年現在は、ChatGPTのような対話型LLMだけでなく、ファイルの読み書き、プログラムのビルド、コマンドの実行などを行えるCoding Agentも利用できるようになっています。
さらに、MCP（Model Context Protocol）などを利用することで、AI Agentから解析ツールを直接操作する方法も広まりつつあります。
例えばREMnuxには、AI AgentからREMnux上のマルウェア解析ツールを利用するためのMCP Serverが用意されています。
- [Using AI with REMnux](https://docs.remnux.org/tips/using-ai)
- [REMnux MCP Server](https://github.com/REMnux/remnux-mcp-server)

Ghidraについても、AI Agentから操作するためのMCP実装がいくつか登場しています。私もGhidraをHeadlessで利用し、MCP経由でAI Agentから解析を行うためのMecha Ghidraを開発しています。
- [Mecha Ghidra](https://github.com/ghidra-user-jp/mecha_ghidra)

IDAやその他のリバースエンジニアリングツールについても、MCPやAgentと連携するための実装が複数登場しており、これまで人間が手作業で行っていた解析作業をAgentに任せることができるようになっています。
一方で、初学者の段階からすべての解析をAgentに任せてしまうのはおすすめしません。「なぜその解析を行ったのか」「ツールが内部で何をしているのか」「出力された結果が正しいのか」といったことを自分で判断する力が身につきにくくなるためです。

まずは自分で解析し、分からない部分をLLMに質問するところから始めるとよいでしょう。慣れてきたら、解析支援スクリプトの作成、MCPによるツール連携、Agentを使った解析の自動化へと徐々に進んでいくことをおすすめします。

### LLMへ情報を入力するときの注意

業務で扱っているマルウェア、顧客から提供されたファイル、未公開のIoC、インシデント情報、社内情報などを外部のLLMサービスへ入力する場合には注意が必要です。
利用しているサービスの契約内容、データの保持期間、学習への利用有無、所属組織のルールなどを確認したうえで利用しましょう。

必要に応じて、以下のような対策を検討してください。
- 機微情報をマスクする
- 組織で許可されたLLMサービスを利用する
- APIやEnterprise向けサービスのデータ取り扱いを確認する
- 必要に応じてローカルLLMを利用する

また、マルウェア本体や解析対象のファイル、解析結果の中には、AI Agentを意図しない動作へ誘導する文字列が含まれている可能性もあります。
特に、AI Agentがファイル操作やコマンド実行、解析ツールの操作まで行える場合は、通常のLLMよりも強い権限を持つことになります。そのため、マルウェア解析でAI Agentを利用する場合は、VMなどの隔離環境上で実行し、安全性を確保することをおすすめします。

AIはかなり賢くなりましたが、それでも意図しないコマンドを実行することがあります。
これまでのマルウェア解析と同様に解析環境を隔離するという基本を守って利用しましょう。

# 実際のマルウェアを使わない学習

2026年現在、マルウェア解析を勉強するために、最初から実際のマルウェアを入手する必要はありません。
むしろ初学者には、以下の順番をおすすめします。

1. LLMや自分で作成した10〜50行程度の小さなプログラム
2. 自分でコンパイルしたWindows APIのサンプル
3. CTF/Crackme/マルウェア解析トレーニング用サンプル
4. マルウェアやC2フレームワークなど、ソースコードが公開されているOSS実装
5. 必要性があり、安全な解析環境を準備できる場合のみ実際のマルウェア

最初のうちは、元のソースコードが分かっているプログラムを教材にするのがおすすめです。
自分で解析した結果と実際のソースコードを比較できるため、「どこまで正しく解析できたか」「どこを読み違えたか」を自分で確認できます。
いきなり実際のマルウェアを解析するよりも、まずは答え合わせのできる教材を使って、逆アセンブルやデコンパイル結果の読み方に慣れる方が効率よく学習できると思います。

# マルウェアの入手

## 前置き

ここではマルウェアの入手方法について触れますが、紹介するサービスを利用する際は利用規約を必ず読んで利用してください。
また、以下の内容は、マルウェアの入手を勧めるものではありません。

不正指令電磁的記録に関する罪では、マルウェアの作成、提供、取得、保管などについて、その目的や正当な理由の有無などが要件になります。
私は法律の専門家ではないため、どういった理由であれば法律上の`正当な理由`にあたるかはわかりません。
個人の趣味でマルウェア解析をおこなうことは`正当な理由`として認められない可能性もあります。
捜査されると困る、裁判になったら困る、正当な理由として提示できる活動実績がない、弁護費用がないなど、平穏な人生を絶対に送りたいという人は、個人の趣味でやらないほうがよいかと思います。

とはいえ過度に怯えすぎて萎縮する必要はないとは思います。
最低限、警視庁が公開している不正指令電磁的記録に関する罪に関するページには目を通して、内容を確認しておきましょう。

- https://www.keishicho.metro.tokyo.jp/kurashi/cyber/law/virus.html

マルウェアを扱う上で気にしなければいけないことは、法律面だけではありません。
マルウェアを実行(故意かどうかは問わない)すると、たいていの場合は攻撃者の用意したサーバにアクセスします。
攻撃者のサーバには自分の利用しているIPアドレスのログが残りますし、接続時に利用しているシステムの情報を送信することもあります。
マルウェアによっては、攻撃者によるコマンドの実行などがおこなわれることも考えられますし、内部ネットワークのスキャンや(一番避けるべき)外部への感染活動などがおこなわれるかもしれません。
攻撃者のサーバに記録された情報は攻撃者自身だけでなく、第三者へ提供されることもあります。また、捜査機関はサーバを差し押さえてログを解析したうえで、ISPに情報開示請求をおこなうことができます。

以下のどれか一つにでも当てはまる場合は、実際のマルウェアを利用した学習は控えましょう。

- マルウェアを取り扱う上で、不安がある。
- マルウェア解析のための専用PCや独立したネットワークなど隔離した環境を用意できない。
- 未成年もしくは学生であるが、マルウェアを扱った解析や研究をするうえで責任者がいない(社会人の場合は、全て自己責任として責任を取れない)。

実際のマルウェアを個人的に入手しなくても、学習する方法は前述しております。

最後にオタクがみんな大好きな以下の名言たちで前置きを終えます。
- `With great power comes great responsibility`
- `The abyss gazes also into you.`

## マルウェア共有サービス/IoC共有サービス

マルウェアのサンプルやIoCを共有するためのサービスがいくつかあります。もっとも登録が多く有名なサービスはVirusTotalですが、有償アカウントのみダウンロードが可能であるため、ここでは無償で利用可能なサービスを紹介します。

この2つのサービスがサンプルの入手先としては有力です。
- [MalwareBazaar](https://bazaar.abuse.ch/)
- [Vx Underground](https://www.vx-underground.org/)

参考情報として以下のサービスも記載しておきます。
- [URLhaus](https://urlhaus.abuse.ch/)
- [ThreatFox](https://threatfox.abuse.ch/)
- [MalShare](https://www.malshare.com/)
- [VirusShare](https://virusshare.com/)
- [VirusBay](https://beta.virusbay.io/)
- [Vx Vaul](http://vxvault.net//ViriList.php)
- [theZoo](https://thezoo.morirt.com/)
- [malpedia](https://malpedia.caad.fkie.fraunhofer.de/)

## オンラインサンドボックス

無料で使用できるオンラインサンドボックスのサービスは本来マルウェアの挙動を解析するサービスですが、他者の投稿したマルウェアをダウンロードすることができます。

- [Hybrid Analysis](https://www.hybrid-analysis.com/)
- [Any Run](https://app.any.run/)
- [Triage](https://tria.ge/)
- [Joe Sandbox](https://www.joesandbox.com/)
- [cape](https://capesandbox.com/)

## OSS RAT

以下はRAT（Remote Access Trojan）の実装を理解するのに役に立つリポジトリです。
ソースコードと実際のバイナリを比較することで、通信処理、コマンド実行、ファイル操作などの実装を学ぶことができます。

- [Lilith RAT](https://github.com/werkamsus/Lilith)
- [Quasar RAT](https://github.com/quasar/Quasar)
- [NGLite](https://github.com/Maka8ka/NGLite)
- [AsyncRAT](https://github.com/NYAN-x-CAT/AsyncRAT-C-Sharp)
- [trochilus RAT](https://github.com/5loyd/trochilus)
- [gh0st RAT](https://github.com/sin5678/gh0st)
- [Poison-Ivy-Reload](https://github.com/killeven/Poison-Ivy-Reload)
- [GitHub Topics rat](https://github.com/topics/rat)

## C2フレームワーク

マルウェアのC2通信やAgentの実装を理解するためには、オープンソースで公開されているC2フレームワークのソースコードを読むことも参考になります。
C2フレームワークには、AgentとC2 Server間の通信、コマンドの受信と実行、ファイル操作、プロセス操作、通信データの暗号化など、マルウェアでもよく見られる機能が実装されています。
それぞれ実装言語やAgentの構造、通信方式が異なるため、ソースコードと生成されたAgentを比較しながらリバースエンジニアリングしてみるのもよいでしょう。

- [Sliver](https://github.com/BishopFox/sliver)
- [Mythic](https://github.com/its-a-feature/Mythic)
- [Mythic Agents](https://github.com/MythicAgents)
- [AdaptixC2](https://github.com/Adaptix-Framework/AdaptixC2)
- [Empire](https://github.com/BC-SECURITY/Empire)
- [PoshC2](https://github.com/nettitude/PoshC2)
- [Merlin](https://github.com/Ne0nd0g/merlin)
- [MITRE CALDERA](https://github.com/mitre/caldera)
- [Havoc](https://github.com/HavocFramework/Havoc)
- [The C2 Matrix](https://www.sans.org/tools/the-c2-matrix)
  - 様々なC2フレームワークの機能や特徴を比較するための一覧