📦 CAPE: Анализируем вирусы и зловреды 💻
CAPE (Malware Configuration And Payload Extraction) — автоматизированная система анализа вредоносного ПО с открытым исходным кодом, созданная на основе песочницы Cuckoo Sandbox. Решение предназначено для запуска и анализа кода в изолированной среде. 🌐
🛠 Возможности CAPE:
- Win32 API: отслеживание вызовов всех процессов.
- Файловые операции: создание, удаление и загрузка файлов.
- Дампы памяти: извлечение памяти процессов.
- Сетевой трафик: трассировка трафика в формате PCAP.
- Снимки экрана: захват экрана во время работы программы.
- Полные дампы памяти виртуальных машин.
📂 Типы анализируемых файлов:
- Исполняемые файлы Windows, DLL-файлы
- Документы PDF и Microsoft Office
- URL-адреса, HTML, PHP-скрипты
- Сценарии Visual Basic (VB)
- ZIP-файлы, JAR-файлы, Python-файлы и многое другое
CAPE обладает модульной архитектурой, что позволяет создавать разнообразные сценарии анализа. 🔍
📄 Документация
📦 GitHub репозиторий
Stay secure and read SecureTechTalks 📚
#CyberSecurity #MalwareAnalysis #Infosec #Hacking #TechNews
CAPE (Malware Configuration And Payload Extraction) — автоматизированная система анализа вредоносного ПО с открытым исходным кодом, созданная на основе песочницы Cuckoo Sandbox. Решение предназначено для запуска и анализа кода в изолированной среде. 🌐
🛠 Возможности CAPE:
- Win32 API: отслеживание вызовов всех процессов.
- Файловые операции: создание, удаление и загрузка файлов.
- Дампы памяти: извлечение памяти процессов.
- Сетевой трафик: трассировка трафика в формате PCAP.
- Снимки экрана: захват экрана во время работы программы.
- Полные дампы памяти виртуальных машин.
📂 Типы анализируемых файлов:
- Исполняемые файлы Windows, DLL-файлы
- Документы PDF и Microsoft Office
- URL-адреса, HTML, PHP-скрипты
- Сценарии Visual Basic (VB)
- ZIP-файлы, JAR-файлы, Python-файлы и многое другое
CAPE обладает модульной архитектурой, что позволяет создавать разнообразные сценарии анализа. 🔍
📄 Документация
📦 GitHub репозиторий
Stay secure and read SecureTechTalks 📚
#CyberSecurity #MalwareAnalysis #Infosec #Hacking #TechNews
👍1
🪲 x64dbg: реверс-инжиниринг и анализа вредоносного ПО
🔍 x64dbg — это популярный бинарный open-source отладчик для Windows, созданный для анализа вредоносного ПО и реверс-инжиниринга исполняемых файлов без доступа к исходному коду. Благодаря своему удобному интерфейсу и мощному набору функций, x64dbg стал незаменимым инструментом для специалистов по кибербезопасности.
📊 Особенности x64dbg:
- С-подобный парсер выражений — позволяет писать и выполнять сложные выражения.
- Отладка DLL и EXE — полная поддержка отладки как динамических библиотек, так и исполняемых файлов (с использованием TitanEngine).
- Интерфейс, похожий на IDA — боковая панель с указателями переходов и выделением токенов инструкций, регистрами и другими элементами.
- Память и вид потоков — возможность просмотра и анализа структуры памяти и активных потоков в процессе.
- Графический и текстовый режимы — поддержка как графического, так и режима просмотра исходного кода, что упрощает анализ.
- Поддержка плагинов — система расширений, позволяющая настраивать и добавлять новые функции с помощью плагинов.
- Скриптовый язык — возможность автоматизации задач через расширяемый язык сценариев.
- Встроенный дизассемблер и ассемблер — быстрый дизассемблер (Zydis) и встроенный ассемблер для создания и редактирования кода.
- Патчинг исполняемых файлов — поддержка редактирования и модификации исполняемых файлов на лету.
🔗 Заключение
x64dbg — интересный инструмент для исследователей и специалистов по безопасности, позволяющий эффективно анализировать и изменять поведение программ.
🔗Ссылка на GitHub.
Stay secure and read SecureTechTalks 📚
#x64dbg #ReverseEngineering #CyberSecurity #MalwareAnalysis #SecureTechTalks #Кибербезопасность
🔍 x64dbg — это популярный бинарный open-source отладчик для Windows, созданный для анализа вредоносного ПО и реверс-инжиниринга исполняемых файлов без доступа к исходному коду. Благодаря своему удобному интерфейсу и мощному набору функций, x64dbg стал незаменимым инструментом для специалистов по кибербезопасности.
📊 Особенности x64dbg:
- С-подобный парсер выражений — позволяет писать и выполнять сложные выражения.
- Отладка DLL и EXE — полная поддержка отладки как динамических библиотек, так и исполняемых файлов (с использованием TitanEngine).
- Интерфейс, похожий на IDA — боковая панель с указателями переходов и выделением токенов инструкций, регистрами и другими элементами.
- Память и вид потоков — возможность просмотра и анализа структуры памяти и активных потоков в процессе.
- Графический и текстовый режимы — поддержка как графического, так и режима просмотра исходного кода, что упрощает анализ.
- Поддержка плагинов — система расширений, позволяющая настраивать и добавлять новые функции с помощью плагинов.
- Скриптовый язык — возможность автоматизации задач через расширяемый язык сценариев.
- Встроенный дизассемблер и ассемблер — быстрый дизассемблер (Zydis) и встроенный ассемблер для создания и редактирования кода.
- Патчинг исполняемых файлов — поддержка редактирования и модификации исполняемых файлов на лету.
🔗 Заключение
x64dbg — интересный инструмент для исследователей и специалистов по безопасности, позволяющий эффективно анализировать и изменять поведение программ.
🔗Ссылка на GitHub.
Stay secure and read SecureTechTalks 📚
#x64dbg #ReverseEngineering #CyberSecurity #MalwareAnalysis #SecureTechTalks #Кибербезопасность
🔍 Malwoverview: инструмент для быстрого анализа вредоносных программ
Malwoverview — крайне полезный инструмент для первичного анализа подозрительных файлов с открытым исходным кодом. Проект разработан Александром Борхесом и представляет собой настоящий "швейцарский нож" для аналитиков вредоносного ПО.
🔥 Основные возможности
➖ Быстрый статический анализ:
- Определение хэшей (MD5, SHA1, SHA256)
- Анализ заголовков PE-файлов
- Поиск строк и сигнатур
- Выявление упаковщиков и обфускаторов
➖ Интеграция с песочницами:
- Поддержка Hybrid-Analysis, VirusTotal, Malshare
- Автоматическая проверка файлов через API
- Парсинг отчетов песочниц
➖ Дополнительные фишки:
- Поиск по базе MITRE ATT&CK
- Анализ сетевых индикаторов
- Генерация отчетов в CSV/JSON
⚙️ Установка и настройка
Важно: Для работы с API песочниц нужно добавить свои ключи в
💻 Пример использования
Где:
-
-
-
Вывод:
- Базовая информация о файле
- Результаты проверки антивирусами
- Подозрительные API-вызовы
- Сетевые индикаторы
🔍 Кейс: Анализ ransomware
1. Загружаем образец вымогателя
2. Запускаем анализ:
3. Получаем:
- Использует AES-256 для шифрования
- Коннектится к C2 через Tor
- Имеет 65/70 детектов на VT
- Использует технику T1055 (Process Injection)
📊 Плюсы и минусы
✅ Преимущества:
- Быстрый первичный анализ
- Поддержка множества API
- Удобные отчеты
- Активно развивается
❌ Ограничения:
- Требует API-ключи
- Нет динамического анализа
- Интерфейс командной строки
💡 В заключение
Malwoverview — отличный инструмент для:
- Специалистов по ИБ
- SOC-аналитиков
- Исследователей вредоносного ПО
Он особенно полезен, когда нужно быстро оценить угрозу и принять решение.
📌 Совет: Используйте в связке с другими инструментами (IDA Pro, Ghidra, Cuckoo Sandbox) для полного анализа.
🔗 Ссылка на GitHub: Malwoverview
Stay secure and read SecureTechTalks 📚
#MalwareAnalysis #CyberSecurity #InfoSec #Malwoverview #CVE #SecureTechTalks
Malwoverview — крайне полезный инструмент для первичного анализа подозрительных файлов с открытым исходным кодом. Проект разработан Александром Борхесом и представляет собой настоящий "швейцарский нож" для аналитиков вредоносного ПО.
🔥 Основные возможности
- Определение хэшей (MD5, SHA1, SHA256)
- Анализ заголовков PE-файлов
- Поиск строк и сигнатур
- Выявление упаковщиков и обфускаторов
- Поддержка Hybrid-Analysis, VirusTotal, Malshare
- Автоматическая проверка файлов через API
- Парсинг отчетов песочниц
- Поиск по базе MITRE ATT&CK
- Анализ сетевых индикаторов
- Генерация отчетов в CSV/JSON
⚙️ Установка и настройка
git clone https://github.com/alexandreborges/malwoverview.git
cd malwoverview
pip install -r requirements.txt
Важно: Для работы с API песочниц нужно добавить свои ключи в
config.py.💻 Пример использования
python malwoverview.py -f suspect.exe -v -a
Где:
-
-f — анализируемый файл-
-v — проверка в VirusTotal-
-a — расширенный анализВывод:
- Базовая информация о файле
- Результаты проверки антивирусами
- Подозрительные API-вызовы
- Сетевые индикаторы
🔍 Кейс: Анализ ransomware
1. Загружаем образец вымогателя
2. Запускаем анализ:
python malwoverview.py -f ransomware.exe -v -s
3. Получаем:
- Использует AES-256 для шифрования
- Коннектится к C2 через Tor
- Имеет 65/70 детектов на VT
- Использует технику T1055 (Process Injection)
📊 Плюсы и минусы
✅ Преимущества:
- Быстрый первичный анализ
- Поддержка множества API
- Удобные отчеты
- Активно развивается
❌ Ограничения:
- Требует API-ключи
- Нет динамического анализа
- Интерфейс командной строки
💡 В заключение
Malwoverview — отличный инструмент для:
- Специалистов по ИБ
- SOC-аналитиков
- Исследователей вредоносного ПО
Он особенно полезен, когда нужно быстро оценить угрозу и принять решение.
📌 Совет: Используйте в связке с другими инструментами (IDA Pro, Ghidra, Cuckoo Sandbox) для полного анализа.
🔗 Ссылка на GitHub: Malwoverview
Stay secure and read SecureTechTalks 📚
#MalwareAnalysis #CyberSecurity #InfoSec #Malwoverview #CVE #SecureTechTalks
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥 CyberSOCEval - большой «экзамен» для ИИ в кибербезопасности
В кибербезопасности любят цифры и факты. Но что делать, когда речь идёт не о вредоносах, а о возможностях LLM-моделей?
CrowdStrike представили то, чего давно ждали: CyberSOCEval — бенчмарк, проверяющий, на что реально способны ИИ в задачах анализа вредоносного ПО и Threat Intelligence.
🦠 Динамический анализ малвари
Исследователи взяли коллекцию сэмплов:
💣 вымогатели
🕵️ инфостилеры
🖥 RAT
и другие.
Все они были прогнаны через CrowdStrike Falcon® Sandbox (Hybrid Analysis), отчёты получены в JSON.
👉 На основе этих данных Llama 3.2 90B сгенерировала 609 тестов с множественным выбором, которые проверили вручную.
Моделям нужно было понять динамику: какие процессы запускаются, куда идёт трафик, что меняется в системе.
📑 Threat Intelligence reasoning
Здесь всё интереснее:
📄 45 TI-отчётов от CrowdStrike, АНБ и других;
🖼 PDF превращены в PNG (!);
🧩 вопросы строятся на основе графов «актор → софт → цель».
Итого: 588 вопросов, часть вручную составленных (где без анализа изображений никак).
📊 Результаты моделей
🦾 Малварь (15-28%)
🥇 Claude-3.7-Sonnet
🥈 llama-4-maverick
🥉 Deepseek-R1
📡 TI (43-53%)
🥇 gpt-o3
🥈 llama-4-maverick (обошёл gpt-4o и gemini-2.5-pro)
🤯 даже «малыш» llama-4-scout обогнал gpt-4o.
🤯 Инсайты исследования
🗑 Удаление «мусора» из отчётов почти не снижает качество.
📜 Замена картинок на текст = +10 п.п. точности.
🧠 Добавление reasoning почти не улучшает ответы.
🎭 Смешанные впечатления
🔹 С одной стороны — это шаг к стандарту оценки LLM в кибере.
🔹 С другой — выглядит как «чья модель лучше парсит CrowdStrike Falcon® отчёты».
⚠️ Странности:
- не указано количество сэмплов;
- Deepseek-R1 не протестирован на TI;
- отчёты в картинках - сомнительное решение;
- много геополитики в вопросах.
🚀 Куда дальше?
CyberSOCEval пока «сырая» версия, но это только начало. Ждём:
- больше датасетов,
- меньше синтетики,
- больше практических задач.
Stay secure and read SecureTechTalks 📚
#AI #LLM #CyberSOCEval #MalwareAnalysis #ThreatIntelligence #SecureTechTalks
В кибербезопасности любят цифры и факты. Но что делать, когда речь идёт не о вредоносах, а о возможностях LLM-моделей?
CrowdStrike представили то, чего давно ждали: CyberSOCEval — бенчмарк, проверяющий, на что реально способны ИИ в задачах анализа вредоносного ПО и Threat Intelligence.
🦠 Динамический анализ малвари
Исследователи взяли коллекцию сэмплов:
💣 вымогатели
🕵️ инфостилеры
🖥 RAT
и другие.
Все они были прогнаны через CrowdStrike Falcon® Sandbox (Hybrid Analysis), отчёты получены в JSON.
👉 На основе этих данных Llama 3.2 90B сгенерировала 609 тестов с множественным выбором, которые проверили вручную.
Моделям нужно было понять динамику: какие процессы запускаются, куда идёт трафик, что меняется в системе.
📑 Threat Intelligence reasoning
Здесь всё интереснее:
📄 45 TI-отчётов от CrowdStrike, АНБ и других;
🖼 PDF превращены в PNG (!);
🧩 вопросы строятся на основе графов «актор → софт → цель».
Итого: 588 вопросов, часть вручную составленных (где без анализа изображений никак).
📊 Результаты моделей
🦾 Малварь (15-28%)
🥇 Claude-3.7-Sonnet
🥈 llama-4-maverick
🥉 Deepseek-R1
📡 TI (43-53%)
🥇 gpt-o3
🥈 llama-4-maverick (обошёл gpt-4o и gemini-2.5-pro)
🤯 даже «малыш» llama-4-scout обогнал gpt-4o.
🤯 Инсайты исследования
🗑 Удаление «мусора» из отчётов почти не снижает качество.
📜 Замена картинок на текст = +10 п.п. точности.
🧠 Добавление reasoning почти не улучшает ответы.
🎭 Смешанные впечатления
🔹 С одной стороны — это шаг к стандарту оценки LLM в кибере.
🔹 С другой — выглядит как «чья модель лучше парсит CrowdStrike Falcon® отчёты».
⚠️ Странности:
- не указано количество сэмплов;
- Deepseek-R1 не протестирован на TI;
- отчёты в картинках - сомнительное решение;
- много геополитики в вопросах.
🚀 Куда дальше?
CyberSOCEval пока «сырая» версия, но это только начало. Ждём:
- больше датасетов,
- меньше синтетики,
- больше практических задач.
Stay secure and read SecureTechTalks 📚
#AI #LLM #CyberSOCEval #MalwareAnalysis #ThreatIntelligence #SecureTechTalks
👍2
🧨 AI-агенты умеют работать с кодом. Но что будет, если кода больше нет?
Исследователи из Columbia, Berkeley, UCLA, Tufts и других организаций представили SRE-Bench, бенчмарк, созданный специально для проверки того, насколько AI-агенты способны разбирать неизвестные бинарники, а не узнавать уже знакомый проект из обучающих данных.
⚙️ Больше никакого «угадай, что это за программа»
Авторы сделали 19 программ с нуля, общей сложностью более 320 000 строк кода.
Внутри пять типов задач:
🔹 сетевые протоколы;
🔹 firmware;
🔹 игровые приложения;
🔹 собственные форматы файлов;
🔹 безопасная имитация malware.
Средний размер программы 16,9 тыс. строк.
Затем исследователи превратили их в 262 уникальных бинарных экземпляра и добавили 44 механизма anti-analysis: obfuscation, anti-debugging, виртуализированный loader, шифрование страниц кода, anti-dump и другие техники.
В итоге получилось 1 572 детерминированно проверяемые задачи.
На создание всего этого ушло более 5 000 часов работы специалистов по reverse engineering.
🧠 Результаты AI
Пять frontier-моделей получили одинаковый набор инструментов: Ghidra, GDB, angr, radare2, binutils и другие RE-инструменты.
Лучшей оказалась GPT-5.6-Sol:
61,4% среднего результата и только 80 из 262 бинарников полностью решены (31,5%).
Claude Opus 5 решил 12,5%, GPT-5.5 - 3,8%, Grok 4.5 - 0,9%, а GLM-5.2 не смог полностью решить ни одного экземпляра.
Эксперимент стоил исследователям $31,4 тыс. и занял около 1 812 sandbox-часов.
🔥 Агенты думают не как reverse engineer
У человека оптимизированный и statically linked бинарник обычно сложнее анализировать, а у AI почти наоборот.
Для GPT-5.6-Sol оптимизация снизила результат всего с 4,75 до 4,67 из 6, а static linking с 4,73 до 4,69.
Удаление символов оказалось намного болезненнее: результат упал с 4,95 до 4,47.
Похоже, современные агенты сильно опираются на имена функций, переменных и другие lexical anchors, которые помогают им построить смысловую модель программы. Когда эти подсказки исчезают, capability резко проседает.
🛡️ Защита ломает всё
Когда авторы включили собственный anti-analysis слой, результат GPT-5.6-Sol практически упал вдвое: с 4,69 до 2,50.
Claude Opus 5 рухнул с 3,07 до 0,33, а остальные модели приблизились к нулю.
AI уже довольно хорошо работает с известной структурой исходного кода. Но между «прочитать код» и «понять неизвестный защищённый бинарник» пока огромная пропасть.
Бинарный анализ не экзотическая задача. Именно так приходится исследовать значительную часть malware, firmware, закрытого enterprise-софта и security appliances. Авторы отмечают, что 46,5% уязвимостей, эксплуатируемых in-the-wild, связаны с вендорами, которые не публикуют исходный код.
🔗 Исследование: https://arxiv.org/pdf/2608.11469
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #ReverseEngineering #MalwareAnalysis #BinaryAnalysis #AISecurity #ThreatResearch #SecureTechTalks
Исследователи из Columbia, Berkeley, UCLA, Tufts и других организаций представили SRE-Bench, бенчмарк, созданный специально для проверки того, насколько AI-агенты способны разбирать неизвестные бинарники, а не узнавать уже знакомый проект из обучающих данных.
⚙️ Больше никакого «угадай, что это за программа»
Авторы сделали 19 программ с нуля, общей сложностью более 320 000 строк кода.
Внутри пять типов задач:
🔹 сетевые протоколы;
🔹 firmware;
🔹 игровые приложения;
🔹 собственные форматы файлов;
🔹 безопасная имитация malware.
Средний размер программы 16,9 тыс. строк.
Затем исследователи превратили их в 262 уникальных бинарных экземпляра и добавили 44 механизма anti-analysis: obfuscation, anti-debugging, виртуализированный loader, шифрование страниц кода, anti-dump и другие техники.
В итоге получилось 1 572 детерминированно проверяемые задачи.
На создание всего этого ушло более 5 000 часов работы специалистов по reverse engineering.
🧠 Результаты AI
Пять frontier-моделей получили одинаковый набор инструментов: Ghidra, GDB, angr, radare2, binutils и другие RE-инструменты.
Лучшей оказалась GPT-5.6-Sol:
61,4% среднего результата и только 80 из 262 бинарников полностью решены (31,5%).
Claude Opus 5 решил 12,5%, GPT-5.5 - 3,8%, Grok 4.5 - 0,9%, а GLM-5.2 не смог полностью решить ни одного экземпляра.
Эксперимент стоил исследователям $31,4 тыс. и занял около 1 812 sandbox-часов.
🔥 Агенты думают не как reverse engineer
У человека оптимизированный и statically linked бинарник обычно сложнее анализировать, а у AI почти наоборот.
Для GPT-5.6-Sol оптимизация снизила результат всего с 4,75 до 4,67 из 6, а static linking с 4,73 до 4,69.
Удаление символов оказалось намного болезненнее: результат упал с 4,95 до 4,47.
Похоже, современные агенты сильно опираются на имена функций, переменных и другие lexical anchors, которые помогают им построить смысловую модель программы. Когда эти подсказки исчезают, capability резко проседает.
🛡️ Защита ломает всё
Когда авторы включили собственный anti-analysis слой, результат GPT-5.6-Sol практически упал вдвое: с 4,69 до 2,50.
Claude Opus 5 рухнул с 3,07 до 0,33, а остальные модели приблизились к нулю.
AI уже довольно хорошо работает с известной структурой исходного кода. Но между «прочитать код» и «понять неизвестный защищённый бинарник» пока огромная пропасть.
Бинарный анализ не экзотическая задача. Именно так приходится исследовать значительную часть malware, firmware, закрытого enterprise-софта и security appliances. Авторы отмечают, что 46,5% уязвимостей, эксплуатируемых in-the-wild, связаны с вендорами, которые не публикуют исходный код.
🔗 Исследование: https://arxiv.org/pdf/2608.11469
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #AgenticAI #ReverseEngineering #MalwareAnalysis #BinaryAnalysis #AISecurity #ThreatResearch #SecureTechTalks