🚀 什么是 ZeroScout？

ZeroScout 是一款新一代威胁狩猎框架，专为事件响应人员 (DFIR)、SOC 分析师和恶意软件研究员设计。

与充当"黑箱"的传统防病毒扫描器不同，ZeroScout 扮演着网络防御总部的角色。它在实时作战室中可视化攻击面，使用遗传代码分析 (ImpHash/SSDeep) 识别APT 组织，并自动生成 YARA 和 SIGMA 防御规则。

它采用混合架构运行：

1. 本地猎手（离线模式）： 使用高级启发式、熵分析和 Windows Defender 桥接，无需互联网即可检测零日威胁。
2. 云端驱动（在线模式）： 与高性能 ZeroScout 云引擎无缝集成，进行军用级沙箱分析。

⚡ 核心能力

🌍 1. 实时作战室可视化

ZeroScout 从二进制文件中提取 C2 (命令与控制) IP，并在终端中实时以ASCII 世界地图可视化网络流量。

实时查看攻击的来源。

🧬 2. 基因溯源 (DNA 分析)

新的恶意软件变种？ZeroScout 分析代码 DNA (ImpHash) 和 TTP 行为，以识别文件背后的攻击者。

"该文件未知，但其 DNA 与 Lazarus 组织匹配，置信度 92%。"

🛡️ 3. 自动防御架构师

停止手动编写检测规则。ZeroScout 即时生成可部署的防御代码：

• **YARA 规则：**用于端点扫描。
• **SIGMA 规则：**用于 SIEM 关联。

🔍 4. 批量狩猎模式

在几秒钟内扫描整个目录（例如下载文件夹、USB 驱动器）。ZeroScout 过滤噪音，仅高亮高风险工件并附上具体原因（例如"高熵"、"进程注入"）。

📸 情报仪表盘（演示）

ZeroScout 提供了一个结合多个情报流的交互式终端仪表盘。

🎥 实时作战室动态（建议使用视频/GIF 演示）

由于仪表盘的动态特性，强烈建议在 README 中使用视频或 GIF 展示此功能。

示例视频： 观看 ZeroScout 实时作战室演示

🧬 基因溯源摘要

╭──────────────────────────────────── 🧬 GENETIC ATTRIBUTION ─────────────────────────────────────╮
│ ACTOR: [High-Risk Threat Actor]                                                                 │
│ CONFIDENCE: 92% [██████████████████░]                                                           │
│ Analysis: Code DNA (ImpHash) and TTP behaviors match known APT28 profiles.                      │
╰─────────────────────────────────────────────────────────────────────────────────────────────────╯

📦 安装

将此项目作为 Python 包安装会自动安装所有依赖项，并使 CLI 工具准备就绪。

# 1. Clone the repository
git clone https://github.com/SUmidcyber/ZeroScout.git
cd ZeroScout

# 2. Install dependencies (Kurulum için burayı kullan)
# Bu, ZeroScout'u sisteminizde bir komut olarak erişilebilir kılar.
pip install .

# Veya sadece test için:
# pip install -r requirements.txt 

# 3. Ready to hunt!
python -m zeroscout.cli scan "malware.exe"

🎮 使用指南

1. 深度分析（零日狩猎）

分析单个文件以打开作战室并生成防御规则。

python -m zeroscout.cli scan "C:\Users\Admin\Desktop\suspicious.exe"

2. 批量狩猎（目录扫描）

快速扫描文件夹，在数千个文件中发现隐藏威胁。

python -m zeroscout.cli scan "C:\Windows\System32"

3. 连接云引擎（可选 - API 密钥）

ZeroScout Cloud Engine'i kullanmak için ZEROSCOUT_API_KEY ortam değişkenini ayarlamanız gerekir. Anahtar bulunamazsa, sistem otomatik olarak Yerel Avcı Moduna geçer.

# Windows (PowerShell)
$env:ZEROSCOUT_API_KEY="your_api_key_here"

# Linux / Mac
export ZEROSCOUT_API_KEY="your_api_key_here"

🏗️ 技术架构

📜 免责声明

ZeroScout 仅用于教育和防御目的。 作者不对任何滥用此工具的行为负责。请始终在隔离环境（虚拟机）中分析恶意软件。

由 Umid Mammadov 开发

ZeroScout 技术