MAPS Cloud Scanner

Uma ferramenta de pesquisa para interação com o MAPS do Windows Defender (Microsoft Active Protection Service), sistema de reputação de arquivos baseado em nuvem e entrega de assinaturas dinâmicas.

O MAPS é o backend em nuvem que alimenta os vereditos de proteção em tempo real do Defender, o pipeline de envio de amostras e a entrega de assinaturas dinâmicas (SDN/DSS). Esta ferramenta utiliza o mesmo protocolo Bond CompactBinaryV1 que o cliente Defender usa na rede, permitindo interação direta com endpoints do MAPS para fins de pesquisa em segurança.

Funcionalidades

• Escaneamento de Arquivos - Envie arquivos para o MAPS e receba vereditos da nuvem (limpo, malware, PUA, desconhecido)
• Consultas de Hash - Consulte a reputação de arquivos por SHA-256 sem enviar o arquivo
• Reputação de URL - Verifique URLs contra o serviço de reputação em nuvem do Defender
• Heartbeat / Conectividade - Teste a conectividade com os endpoints do MAPS
• Análise Local - Analise metadados PE, imports, seções e assinaturas Authenticode offline
• Protocolo Bond - Serializador/desserializador CompactBinaryV1 completo, compatível com o formato do Defender
• Inspeção de Payloads - Construa, decodifique e reproduza payloads Bond brutos para pesquisa de protocolo
• Fuzzing de API - Enumere endpoints não documentados, campos ocultos, tipos de relatório e comportamento do servidor

Instalação

pip install -r requirements.txt

A única dependência obrigatória é requests. Dependências opcionais para análise avançada:

Uso

# Escanear um arquivo local
./maps_scanner scan <arquivo>

# Consultar reputação por hash
./maps_scanner scan-hash <sha256>

# Verificação de reputação de URL
./maps_scanner url <url>

# Teste de conectividade
./maps_scanner heartbeat

# Análise PE apenas local
./maps_scanner analyze <arquivo>

# Construir um payload Bond sem enviar
./maps_scanner build <arquivo>

# Decodificar um binário Bond capturado
./maps_scanner decode <arquivo>

# Reproduzir um payload capturado anteriormente
./maps_scanner replay <arquivo>

# Mostrar ou editar configuração
./maps_scanner config

Adicione --json a qualquer comando para saída em formato legível por máquina. Use -v para detalhes verbosos do protocolo.

Estrutura do Projeto

maps_scanner/
  __init__.py        # Metadados do pacote
  __main__.py        # Ponto de entrada CLI e roteamento de comandos
  client.py          # Cliente do protocolo MAPS, configuração e análise de arquivos
  bond.py            # Serializador/desserializador Microsoft Bond CompactBinaryV1
  fuzz_maps.py       # Fuzzer de API para descoberta de endpoints e campos
  maps_scanner       # Script wrapper em Python
  requirements.txt   # Dependências
  docs/              # Documentação do protocolo e resultados de testes
  tests/             # Amostras de teste e utilitários

Documentação

Documentação detalhada do protocolo está disponível em docs/:

• MAPS_SCANNER.md - Referência técnica completa
• MAPS_SAMPLE_IO.md - Exemplos de payloads de requisição/resposta
• MAPS_LIVE_TEST_RESULTS.md - Resultados de testes em endpoints ao vivo
• maps_protocol_guide.html - Guia visual do protocolo

Aviso Legal

Esta ferramenta é fornecida apenas para pesquisa de segurança autorizada. Ela interage com serviços Microsoft ao vivo. Use com responsabilidade e em conformidade com todas as leis aplicáveis e os termos de serviço da Microsoft. Os autores não assumem nenhuma responsabilidade por uso indevido.

Licença

Apenas para uso autorizado em pesquisa de segurança.