Сканер файлов
Загрузите файл — девятнадцать движков прочитают его по байтам, а не по имени, и вернут оценку от 0 до 100 со всеми находками за ней.
Сканер артефактов принимает файл и говорит, что это, что с ним не так и насколько платформа уверена. Файл остаётся на вашем сервере.
Файл — это то, что говорят его байты
Заголовок раздела «Файл — это то, что говорят его байты»Тип определяется по содержимому файла и никогда — по имени. Более 40 форматов распознаются только по байтам: программы Windows, Linux и macOS, код Java и Android, старые и новые документы Office, PDF, RTF, архивы (ZIP, RAR, 7-Zip, GZIP, XZ, BZIP2, Zstandard, TAR, CAB, ISO), изображения, захваты трафика, базы SQLite и скрипты с shebang.
Контейнеры открываются, чтобы увидеть, что внутри: ZIP с word/ — документ Word, с AndroidManifest.xml и classes.dex — Android-приложение, с META-INF/MANIFEST.MF — Java-архив.
Файл, содержимое которого не совпадает с именем, — это маскировка, и он оценивается соответственно: программа Windows под именем invoice.pdf или data.json, документ Word с макросами, переименованный в report.bin, Android-приложение под именем app.zip. Имя решает только между текстовыми типами — JSON, YAML или Python.
| Движок | Что ищет |
|---|---|
| Маскировка | Содержимое, не совпадающее с именем, и программа Linux или macOS, выдающая себя за поток ядра |
| Структура PE | Импорты, секции и аномалии заголовка в программах Windows |
| Макросы Office | VBA, извлечённый из документов OLE2 и OOXML, и что он вызывает |
| Шаблоны скриптов и макросов | Вредоносные шаблоны в VBA, JavaScript, VBScript и PowerShell |
| Статические эвристики | Цепочки инъекции и hollowing в таблице импорта программы |
| Секреты | Зашитые в код ключи, токены и пароли |
| Инспектор архивов | Path traversal, исполняемые файлы и шифрование внутри ZIP и TAR |
| Локальные данные об угрозах | Хеш файла, адреса и домены в нём — против ваших локальных данных об угрозах |
| YARA | Встроенный набор правил |
| YARA community | Наборы сообщества: 1240 правил ReversingLabs и 2926 правил YARA Forge из источников, чья лицензия это позволяет. В находке указан автор правила |
| ClamAV | Сигнатуры ClamAV |
| Sandbox lite | Статический поведенческий анализ того, что сделал бы код |
| Подпись приложения | Кто подписал приложение Android, верна ли подпись и не пересобрано ли оно |
| Скрытая нагрузка | Программы и скрипты, спрятанные в тексте: base64 (в том числе перевёрнутый или разбитый по строкам), hex, массивы байтов и gzip внутри них. Раскодированное анализируется как отдельный файл |
| Java-архивы | Каждый класс в JAR: что умеет программа, и сигнатуры по распакованным классам |
| Установщики | Что запускает пакет Windows Installer и каждый файл в нём, включая кабинеты |
| Приложения Android | Разрешения, компоненты и вызовы платформы: облик конкретной задачи, например банковского трояна |
| Похожие образцы | Отпечатки, близкие к известному вредоносному ПО: родственники, которых не называет ни одна сигнатура |
| Ярлыки | Команда внутри ярлыка Windows |
| Возможности (capa) | Что умеет программа Windows или Linux, по её коду, с помощью capa от Mandiant, в основном с привязкой к ATT&CK. Работает на сервере с четырьмя свободными ядрами и 8 ГБ памяти |
Для YARA, ClamAV, capa, макросов и песочницы нужны установленные компоненты. Если компонента нет, движок сообщает skipped — никогда «чисто». На платформе на вашем сервере ClamAV есть.
| Вердикт | Когда |
|---|---|
| Опасно | Файл что-то назвало: сигнатура, известный вредоносный хеш, правило для этой программы или маскировка. Оценка тогда 50 и выше. |
| Подозрительно | 40 и выше, и ничто его не назвало: что он умеет, riskware, облик вредоносной задачи |
| Низкий риск | 25–39 |
| Угроз не найдено | 0–24 |
Одна и та же оценка везде читается одним словом: на телефоне, на компьютере, в истории сканирований и в отчётах.
Результат начинается с блока Почему такой вердикт: одно предложение о том, на чём он основан, и причины, на языке консоли. Имя обнаружения остаётся таким, каким его дал движок.
Результат показывает каждый движок с его статусом и находками, так что видно, почему оценка именно такая. Блок По содержимому (байтам) показывает тип, объявленный содержимым, рядом с именем, с которым пришёл файл.
Что означает вердикт
Заголовок раздела «Что означает вердикт»- Опасно: файл должно что-то назвать: сигнатура, известный вредоносный хеш, правило для этого вредоноса или инструмента либо маскировка. Того, что программа умеет делать, недостаточно.
- Подозрительный: такой вердикт получает программа или приложение за свои возможности, когда их ничто не назвало. Так читается цепочка инъекции в импортах: она есть и у отладчиков.
- Riskware: приложение не является сборкой издателя, либо совпала сигнатура потенциально нежелательной программы. Подозрительно, но не вредоносно.
- Конфиденциальные данные: в файле есть ключи или пароли. Он не вредоносный, но его нельзя передавать другим.
- Проверен частично: сканер не смог прочитать файл: сжатые или зашифрованные байты в неизвестном ему формате, аудио и видео. Такой файл никогда не показывается как чистый.
Файлы внутри ZIP, TAR, GZIP, BZIP2 и XZ анализируются по одному: до двух уровней вложенности и до 64 файлов в архиве, самые рискованные первыми. Архив получает вердикт того, что в нём лежит, и в результате показан каждый файл. Программа в архиве отмечается, но сама по себе не считается находкой против него.
Приложения Android
Заголовок раздела «Приложения Android»Движок подписи приложения читает имя пакета и сертификаты подписи, не запуская приложение. Приложение с публичным тестовым ключом, приложение, схемы подписи которого называют разные ключи, и пересборка с подписью сайта и словом mod в имени считаются riskware.
Сама подпись проверяется так, как это делает Android (схемы v2 и v3): она должна сходиться, её ключ должен быть ключом сертификата, а подписанный хеш должен быть хешем этого файла. Файл, изменённый после подписи, или сертификат, скопированный в чужое приложение, считаются riskware. Приложение, подписанное только старым способом (v1), не проверяется и доверия не получает.
Ключи популярных приложений встроены: Telegram, WhatsApp, Signal, Zoom, AnyDesk, TeamViewer, Firefox, Brave, VLC, Bitwarden и F-Droid, каждый взят из загрузки на сайте издателя. Копия с этим ключом и верной подписью считается собственной сборкой издателя, и запрошенные разрешения против неё не считаются. Копия с тем же именем пакета и другим ключом считается пересобранной. Приложений, которые распространяются только через магазин, в списке нет: администратор может записать ключ сборки, которой доверяет.
Что приложение может делать, перечислено в блоке Что умеет приложение (читает SMS, рисует поверх других приложений, камера, запускается при включении и так далее) и не даёт баллов: мессенджер и шпион просят одни и те же разрешения. Вердикт зависит от облика задачи, подсчитанного на 101 чистом приложении и проверенного на 406:
- Подозрительно: скрытое приложение (без значка в списке приложений), которое запускается при включении и имеет чувствительный доступ; приложение, которое читает сообщения или уведомления и в коде которого есть API Telegram-ботов, так отчитываются SMS-стилеры в Центральной Азии; разрешения банковского трояна у скрытого приложения или у того, что пишет боту. Ни у одного из 406 чистых приложений такого нет.
- Низкий риск: только разрешения банковского трояна (спец. возможности, рисование поверх приложений, чтение сообщений), они есть и у средств автоматизации; администратор устройства, способный его заблокировать или стереть, как блокировщики приложений.
- Riskware: подпись не сходится, публичный тестовый ключ, пересобранная копия.
Приложение, манифест которого не прочитан, показано как проверенное частично. Программа Windows внутри приложения считается находкой против него; библиотека Windows нет, их носят библиотеки Java и приложения .NET.
Онлайн и на сервере без интернета
Заголовок раздела «Онлайн и на сервере без интернета»Движки одни и те же. Подключённый сервер может также спрашивать публичные базы хешей, если администратор это разрешил; без интернета они показаны как выключенные, а не как чистые. MalwareBazaar и ThreatFox нужен бесплатный ключ abuse.ch от администратора (LEGIT_ABUSECH_AUTH_KEY); без него их не спрашивают и показывают «нужен ключ». Отправляется только хеш файла, сам файл — никогда. Сигнатуры ClamAV попадают на сервер без интернета в подписанном пакете обновлений. Страница сканера ещё до загрузки говорит, сколько движков готово, сколько дней сигнатурам и какой самый большой файл принимает этот сервер.
Ограничения
Заголовок раздела «Ограничения»Файл — до 1 ГБ; реальный предел задаёт память сервера, и страница сканера его показывает. Тариф задаёт, сколько файлов тенант может сканировать в неделю; сверх этого сканирование отклоняется с датой обновления лимита.
Сохранённые файлы
Заголовок раздела «Сохранённые файлы»Проверенный файл хранится вместе с проверкой в истории, чтобы результат можно было открыть снова. Удаление проверки удаляет и файл, и его отчёты; файл, который ещё использует другая проверка, остаётся, пока не удалена и она.