Speakeasy

Speakeasy — это фреймворк эмуляции вредоносного ПО для Windows, который выполняет бинарные файлы, драйверы и shellcode в смоделированной среде выполнения Windows вместо полноценной виртуальной машины. Он эмулирует API, поведение процессов и потоков, файловую систему, реестр и сетевую активность, чтобы образцы могли проходить через реалистичные пути выполнения. Его можно запускать из CLI speakeasy для быстрого триажа или встраивать как библиотеку Python и получать структурированные отчёты JSON.

Контекст: обзорный пост Mandiant.

Быстрый старт

Установка из PyPI:

python3 -m pip install speakeasy-emulator

Запустите образец и просмотрите поля отчёта верхнего уровня (замените sample.dll на ваш целевой файл):

speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, file_type, entry_points: (.entry_points | length)}' report.json

{
  "sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
  "arch": "x86",
  "file_type": "dll",
  "entry_points": 3
}

Карта документации

Начните здесь

• Установка
• Использование библиотеки Python
• Справка и устранение неполадок
• Индекс документации

Использование CLI

• Справочник по CLI
• Рецепты анализа через CLI
• Переопределения окружения в CLI
• Управление выполнением в CLI

Отчёты, конфигурация и поведение среды выполнения

• Пошаговое руководство по конфигурации
• Пошаговое руководство по отчётам
• Управление памятью
• Ограничения

Отладка и расширение

• Справочник по отладке в GDB
• Монтирование файлов хоста с помощью --volume
• Добавление обработчиков API
• Каталог примеров
• План пошагового руководства по Speakeasy 2

Вопросы и помощь

Начните с doc/help.md.

Если вам всё ещё нужна помощь, создайте issue на github.com/mandiant/speakeasy/issues.