MAPS Cloud Scanner

Инструмент для исследований, предназначенный для взаимодействия с облачной системой репутации файлов и доставки динамических сигнатур Windows Defender's MAPS (Microsoft Active Protection Service).

MAPS — это облачный бэкенд, который обеспечивает вердикты защиты в реальном времени, конвейер отправки образцов и доставку динамических сигнатур (SDN/DSS) для Defender. Данный инструмент использует тот же протокол Bond CompactBinaryV1, который применяется клиентом Defender при передаче данных, что позволяет напрямую взаимодействовать с конечными точками MAPS в исследовательских целях.

Возможности

• Сканирование файлов — Отправка файлов в MAPS и получение облачных вердиктов (чист, вредоносное ПО, потенциально нежелательное, неизвестно)
• Запросы по хешу — Запрос репутации файла по SHA-256 без отправки самого файла
• Репутация URL — Проверка URL через облачную службу репутации Defender
• Heartbeat / Проверка связности — Тестирование подключения к конечным точкам MAPS
• Локальный анализ — Автономный анализ метаданных PE, импортов, секций и подписей Authenticode
• Протокол Bond — Полный сериализатор/десериализатор CompactBinaryV1, соответствующий формату передачи Defender
• Инспекция полезных нагрузок — Сборка, декодирование и повторная отправка сырых нагрузок Bond для исследования протокола
• Фаззинг API — Перебор недокументированных конечных точек, скрытых полей, типов отчётов и поведения сервера

Установка

pip install -r requirements.txt

Единственная обязательная зависимость — requests. Опциональные зависимости для расширенного анализа:

Использование

# Scan a local file
./maps_scanner scan <file>

# Query reputation by hash
./maps_scanner scan-hash <sha256>

# URL reputation check
./maps_scanner url <url>

# Connectivity test
./maps_scanner heartbeat

# Local-only PE analysis
./maps_scanner analyze <file>

# Build a Bond payload without sending
./maps_scanner build <file>

# Decode a captured Bond binary
./maps_scanner decode <file>

# Replay a previously captured payload
./maps_scanner replay <file>

# Show or edit configuration
./maps_scanner config

Добавьте --json к любой команде для вывода в машиночитаемом формате. Используйте -v для подробного вывода информации о протоколе.

Структура проекта

maps_scanner/
  __init__.py        # Package metadata
  __main__.py        # CLI entry point and command routing
  client.py          # MAPS protocol client, config, and file analysis
  bond.py            # Microsoft Bond CompactBinaryV1 serializer/deserializer
  fuzz_maps.py       # API fuzzer for endpoint and field discovery
  maps_scanner       # Python wrapper script
  requirements.txt   # Dependencies
  docs/              # Protocol documentation and test results
  tests/             # Test samples and utilities

Документация

Подробная документация по протоколу доступна в docs/:

• MAPS_SCANNER.md — Полное техническое описание
• MAPS_SAMPLE_IO.md — Примеры запросов/ответов
• MAPS_LIVE_TEST_RESULTS.md — Результаты тестирования реальных конечных точек
• maps_protocol_guide.html — Визуальное руководство по протоколу

Отказ от ответственности

Данный инструмент предоставляется только для авторизованных исследований в области безопасности. Он взаимодействует с работающими сервисами Microsoft. Используйте ответственно и в соответствии со всеми применимыми законами и условиями использования Microsoft. Авторы не несут ответственности за неправомерное использование.

Лицензия

Только для авторизованного использования в исследованиях безопасности.