CheckPlz

CheckPlz — это Rust-адаптация популярных инструментов ThreatCheck и GoCheck, предназначенная для сканирования файлов на наличие потенциальных угроз с использованием AMSI (Antimalware Scan Interface) и Windows Defender. Точно изолируя вредоносный контент и предоставляя комплексный анализ, CheckPlz обеспечивает улучшенный и эффективный процесс сканирования файлов.

Ключевые особенности

• Интеграция с AMSI: Выполнение точных проверок буферов для обнаружения угроз.
• Изоляция угроз бинарным поиском: Точное определение участка файла, вызывающего обнаружение угрозы.
• Анализ Hex-дампа: Визуализация вредоносного содержимого с детальным шестнадцатеричным и ASCII-дампом.
• Поддержка отладки: Включение подробного вывода для более глубокого анализа.
• Настраиваемый вывод: Выбор между необработанным или цветным, удобным для человека выводом в терминале.

Как это работает

1. Сканирование через AMSI:

   • Инициализирует контекст AMSI.
   • Сканирует содержимое файла и буферы на наличие угроз.
   • При обнаружении угрозы выполняет бинарный поиск для изоляции вредоносного сегмента.

2. Сканирование через Windows Defender:

   • Вызывает MpCmdRun.exe для сканирования файла.
   • Анализирует вывод на предмет обнаружения угроз.
   • Выполняет бинарный поиск, если угроза найдена.

3. Бинарный поиск:

   • Рекурсивно сканирует сегменты файла для поиска вредоносного содержимого.
   • Формирует подробные журналы и результаты.

Установка

1. Клонируйте репозиторий:
   root@kitploit:~

   git clone https://github.com/your-username/CheckPlz.git
   cd CheckPlz
   

2. Скомпилируйте проект:
   root@kitploit:~

   cargo build --release
   

3. Исполняемый файл будет доступен по пути target/release/checkplz.exe.

Инструкция по использованию

Запустите CheckPlz с нужными параметрами:

Usage: CheckPlz.exe [OPTIONS] --file <FILE>

Options:
  -f, --file <FILE>  Path to the file to scan
  -d, --debug        Enable debug mode
  -a, --amsi         Use AMSI scan
  -m, --msdefender   Use Windows Defender scan
  -r, --raw          Raw output without ANSI colors
  -h, --help         Print help
  -V, --version      Print version

Примеры команд

• Сканирование файла с помощью AMSI:

  root@kitploit:~

  checkplz --file malicious.exe --amsi
  

• Сканирование файла с помощью Windows Defender:

  root@kitploit:~

  checkplz --file suspicious.exe --msdefender
  

• Выполнение сканирования с использованием и AMSI, и Windows Defender с включённым отладочным выводом:

  root@kitploit:~

  checkplz --file unknown.exe --amsi --msdefender --debug
  

• Выполнение сканирования с необработанным выводом:

  root@kitploit:~

  checkplz --file unknown.exe --amsi --raw
  

Обзор вывода

• Результаты сканирования: Отображают статус обнаружения, возможные вредоносные смещения и время, затраченное на сканирование.
• Анализ Hex-дампа: Детальное отображение подозрительных участков с подсветкой вредоносных байтов.