Speakeasy

Speakeasy é um framework de emulação de malware para Windows que executa binários, drivers e shellcode em um runtime Windows modelado em vez de uma VM completa. Ele emula APIs, comportamento de processos/threads, sistema de arquivos, registro e atividade de rede para que as amostras possam continuar seguindo caminhos de execução realistas. Você pode executá-lo a partir da CLI speakeasy para triagem rápida ou incorporá-lo como uma biblioteca Python e consumir relatórios JSON estruturados.

Contexto de fundo: Post de visão geral da Mandiant.

Início rápido

Instalação a partir do PyPI:

python3 -m pip install speakeasy-emulator

Execute uma amostra e inspecione campos de relatório de alto nível (substitua sample.dll pelo seu alvo):

speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, filetype, entry_points: (.entry_points | length)}' report.json

{
  "sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
  "arch": "x86",
  "filetype": "dll",
  "entry_points": 3
}

Prova executável para este trecho: doc/readme-quickstart-showboat.md.

Mapa da documentação

Comece por aqui

• Instalação e uso do Docker
• Uso da biblioteca Python
• Ajuda e solução de problemas
• Índice da documentação

Uso da CLI

• Referência da CLI
• Receitas de análise da CLI
• Sobrescritas de ambiente da CLI
• Controles de execução da CLI
• Snapshot de ajuda da CLI (showboat)

Relatórios, configuração e comportamento em tempo de execução

• Passo a passo da configuração
• Passo a passo dos relatórios
• Gerenciamento de memória
• Limitações

Depuração e extensão

• Referência de depuração com GDB
• Sessões GDB (showboat)
• Montagem de arquivos do host com --volume
• Adicionando manipuladores de API
• Diretório de exemplos
• Esboço do passo a passo do Speakeasy 2

Perguntas e ajuda

Comece com doc/help.md.

Se ainda precisar de ajuda, abra uma issue em github.com/mandiant/speakeasy/issues.