🚀 Что такое ZeroScout?

ZeroScout — это фреймворк нового поколения для охоты за угрозами, разработанный для специалистов по реагированию на инциденты (DFIR), аналитиков SOC и исследователей вредоносного ПО.

В отличие от традиционных антивирусных сканеров, которые работают как «чёрный ящик», ZeroScout действует как штаб киберзащиты. Он визуализирует поверхность атаки в живой боевой комнате, определяет APT-группу с помощью анализа генетического кода (ImpHash/SSDeep) и автоматически генерирует YARA- и SIGMA-правила защиты.

Он работает в гибридной архитектуре:

1. Локальный охотник (офлайн-режим): использует продвинутые эвристики, анализ энтропии и мост Windows Defender для обнаружения 0-day угроз без доступа в интернет.
2. Облачный движок (онлайн-режим): бесшовно интегрируется с высокопроизводительным ZeroScout Cloud Engine для анализа в песочнице военного класса.

⚡ Ключевые возможности

🌍 1. Визуализация боевой комнаты в реальном времени

ZeroScout извлекает C2 (Command & Control) IP-адреса из бинарного файла и визуализирует сетевой трафик на живой ASCII-карте мира прямо в вашем терминале.

Смотрите, откуда исходит атака, в реальном времени.

🧬 2. Генетическая атрибуция (ДНК-анализ)

Новый вариант вредоносного ПО? ZeroScout анализирует ДНК кода (ImpHash) и поведение TTP, чтобы определить актора, стоящего за файлом.

«Этот файл неизвестен, но его ДНК совпадает с Lazarus Group с уверенностью 92%.»

🛡️ 3. Архитектор автоматической защиты

Перестаньте писать правила обнаружения вручную. ZeroScout мгновенно генерирует готовые к развертыванию защитные коды:

• YARA-правила: для сканирования конечных точек.
• SIGMA-правила: для корреляции в SIEM.

🔍 4. Режим массовой охоты

Сканируйте целый каталог (например, папку «Загрузки», USB-накопитель) за считанные секунды. ZeroScout отфильтровывает шум и выделяет только высокорисковые артефакты с указанием конкретных причин (например, «Высокая энтропия», «Внедрение процесса»).

📸 Панель разведывательных данных (Демо)

ZeroScout предоставляет комплексную интерактивную терминальную панель, объединяющую несколько потоков разведывательных данных.

🎥 Поток боевой комнаты в реальном времени (рекомендуется видео/GIF-демо)

Из-за динамического характера панели настоятельно рекомендуется демонстрировать эту функцию с помощью видео или GIF в вашем README.

Пример видео: Посмотрите ZeroScout Live War Room в действии

🧬 Сводка генетической атрибуции

╭──────────────────────────────────── 🧬 GENETIC ATTRIBUTION ─────────────────────────────────────╮
│ ACTOR: [High-Risk Threat Actor]                                                                 │
│ CONFIDENCE: 92% [██████████████████░]                                                           │
│ Analysis: Code DNA (ImpHash) and TTP behaviors match known APT28 profiles.                      │
╰─────────────────────────────────────────────────────────────────────────────────────────────────╯

📦 Установка

Установка этого проекта как Python-пакета автоматически устанавливает все зависимости и делает CLI-инструмент готовым к использованию.

# 1. Clone the repository
git clone https://github.com/SUmidcyber/ZeroScout.git
cd ZeroScout

# 2. Install dependencies (Kurulum için burayı kullan)
# Bu, ZeroScout'u sisteminizde bir komut olarak erişilebilir kılar.
pip install .

# Veya sadece test için:
# pip install -r requirements.txt 

# 3. Ready to hunt!
python -m zeroscout.cli scan "malware.exe"

🎮 Руководство по использованию

1. Глубокий анализ (охота на zero-day)

Проанализируйте один файл, чтобы открыть боевую комнату и сгенерировать правила защиты.

python -m zeroscout.cli scan "C:\Users\Admin\Desktop\suspicious.exe"

2. Массовая охота (сканирование каталога)

Быстро просканируйте папку, чтобы найти скрытые угрозы среди тысяч файлов.

python -m zeroscout.cli scan "C:\Windows\System32"

3. Подключение Cloud Engine (опционально — API-ключ)

Для использования ZeroScout Cloud Engine необходимо задать переменную окружения ZEROSCOUT_API_KEY. Если ключ не будет найден, система автоматически переключится в режим локального охотника.

# Windows (PowerShell)
$env:ZEROSCOUT_API_KEY="your_api_key_here"

# Linux / Mac
export ZEROSCOUT_API_KEY="your_api_key_here"

🏗️ Техническая архитектура

📜 Отказ от ответственности

ZeroScout предназначен только для образовательных и защитных целей. Авторы не несут ответственности за любое неправомерное использование этого инструмента. Всегда анализируйте вредоносное ПО в изолированной среде (VM).

Разработано Umid Mammadov

ZeroScout Technologies