AIDebug

Отправная точка для рецензента

CLI для обратной разработки с фокусом на доказательства. Андрей Паутов разрабатывает интерфейс аналитика на Python, офлайн-триаж, анализ строк, инспекцию PE и рабочие процессы отчётности. Capstone, Ghidra, GDB и опциональные AI-провайдеры являются интеграциями, а не оригинальными инструментами, созданными в рамках этого проекта.

Релевантность роли: триаж вредоносного ПО, инструментарий обратной разработки, безопасный анализ с поддержкой ИИ, поставка на Python.

Запустите безопасную локальную демонстрацию и ознакомьтесь с областью валидации · Записанная локальная валидация

AIDebug — это CLI и терминальный интерфейс для обратной разработки вредоносного ПО с фокусом на доказательства. Он объединяет детерминированный офлайн-триаж, шестнадцатеричную инспекцию всего файла, глубокий анализ структуры PE, дизассемблирование Capstone, реконструкцию Ghidra, опциональные LLM-перекрёстные проверки, локальную отладку ELF, компилируемые учебные упражнения и отчётность для проверки аналитиком.

Текущая версия исходного кода: AIDebug 3.1.0. См. примечания к выпуску 3.1.0.

Последним неизменяемым опубликованным выпуском остаётся AIDebug v3.0.0, доступный как 1200km-aidebug, до тех пор, пока соответствующий версии тег 3.1.0 и релиз на GitHub не завершат проверенный процесс публикации.

Ключевые возможности

• Детерминированный статический триаж PE и ELF без необходимости в AI-сервисе.
• Анализ строк всего файла с учётом вхождений для ASCII, UTF-8, UTF-16LE и UTF-16BE с умными категориями, ранжированием и пояснениями DLL/API.
• Шестнадцатеричный просмотрщик только для чтения с постраничной навигацией для всего анализируемого файла.
• Глубокий исследователь структуры PE32/PE32+ с сопоставленными RVA, VA и файловыми смещениями.
• Реконструкция C-подобного кода на основе Ghidra для одной функции или полного ограниченного набора функций.
• Опциональная проверка с опорой на доказательства через Anthropic, OpenAI, Google Gemini или локальную конечную точку, совместимую с Ollama.
• Локальная отладка ELF на основе GDB с точками останова, пошаговым выполнением, регистрами, дельтами, контекстом дизассемблирования и кандидатами входов/выходов функций.
• Сто автономных учебных примеров на C с реальным выводом компилятора, дизассемблированием и псевдокодом Ghidra в основном GUI.
• Локальная история анализа с индексацией по SHA-256 и совместимое восстановление находок.
• Выводы в форматах HTML, версионированного JSON, кандидатов YARA, кандидатов ATT&CK и CFG для проверки аналитиком.

Установка

Установите стабильный пакет из PyPI:

python3 -m venv .venv
source .venv/bin/activate
python -m pip install --upgrade pip
python -m pip install 1200km-aidebug==3.0.0
aidebug --version

Установите опциональные возможности по мере необходимости:

# Remote/local LLM providers and validated YARA generation
python -m pip install "1200km-aidebug[ai]==3.0.0"

# Frida dynamic instrumentation
python -m pip install "1200km-aidebug[dynamic]==3.0.0"

# All optional Python integrations
python -m pip install "1200km-aidebug[all]==3.0.0"

Для разработки:

git clone https://github.com/anpa1200/AIDebug.git
cd AIDebug
python3 -m venv .venv
source .venv/bin/activate
python -m pip install -e ".[dev,dynamic]"

Ghidra, GDB, Bubblewrap, компилятор C и целевые компоненты Frida — это внешние инструменты, используемые только теми рабочими процессами, которым они требуются.

Быстрый старт

Откройте образец PE или ELF в основном терминальном интерфейсе:

aidebug --binary /path/to/sample.exe --offline

Запустите детерминированный анализ без полноэкранного UI и экспортируйте доказательства:

aidebug --binary /path/to/sample.exe \
  --offline --no-tui --report --json-export --yara \
  --out-dir reports/

Используйте реконструкцию Ghidra:

aidebug --binary /path/to/sample.exe --offline --no-tui --decompile
aidebug --binary /path/to/sample.exe --offline --no-tui \
  --decompile-all reports/sample-reconstruction.c

Проанализируйте одну единицу трансляции C через временный, неисполняемый артефакт ELF:

aidebug --source /path/to/example.c --offline --no-tui

Определите произвольный файл независимо от расширения его имени:

aidebug --identify /path/to/renamed-or-unknown-file --offline

--identify выводит структурированный JSON с объявленным типом, MIME-типом, распространёнными расширениями, уверенностью, методом, доказательствами, SHA-256 и размером. Детерминированное покрытие включает распространённые исполняемые форматы и форматы байт-кода, архивы и образы дисков, контейнеры Office/OpenDocument/EPUB, документы, изображения, аудио/видео, захваты пакетов, базы данных, артефакты реестра/журналов событий, скрипты и текст. Форматы на основе ZIP инспектируются по ограниченным именам членов и небольшим чтениям метаданных; файлы никогда не исполняются и не извлекаются.

Установите python-magic вместе с базой данных libmagic операционной системы для дополнительных сигнатур, известных локальной платформе:

python -m pip install python-magic

Когда ни одно детерминированное правило сигнатуры, структуры или текста не совпадает, настроенный AI-провайдер может вывести кандидата из ограниченных метаданных: расширения, размера, SHA-256, до 96 байт заголовка, 32 байт хвоста, энтропии образца и доли NUL. Тело файла, извлечённые строки и путь в файловой системе не отправляются. Результаты только от ИИ помечаются как ai-inference, ограничиваются уверенностью 60% и требуют проверки аналитиком. Используйте --offline, чтобы полностью отключить резервный вариант; неразрешённый тип сообщается как Unknown с кодом выхода 2.

Рабочее пространство анализа строк (3.1.0)

Нажмите S в основном терминальном интерфейсе или запустите сразу в рабочем пространстве:

aidebug --binary /path/to/sample.exe --offline --strings