Fayl skaneri

Fayl skaneri faylni qabul qiladi va u nima ekanini, unda nima noto’g’ri ekanini va platforma qanchalik ishonchli ekanini aytadi. Fayl serveringizda qoladi.

Fayl — baytlari aytgan narsa

Tur hech qachon nomdan emas, fayl tarkibidan o’qiladi. 40 dan ortiq format faqat baytlaridan taniladi — Windows, Linux va macOS dasturlari, Java va Android kodi, eski va yangi Office hujjatlari, PDF, RTF, arxivlar (ZIP, RAR, 7-Zip, GZIP, XZ, BZIP2, Zstandard, TAR, CAB, ISO), rasmlar, paket yozuvlari, SQLite bazalar va shebang’li skriptlar.

Konteynerlar ichida nima borligini ko’rish uchun ochiladi: ichida word/ bo’lgan ZIP — Word hujjati, AndroidManifest.xml va classes.dex bo’lsa — Android ilova, META-INF/MANIFEST.MF bo’lsa — Java arxivi.

Tarkibi nomiga mos kelmagan fayl — niqob, va u shunday baholanadi: invoice.pdf yoki data.json deb nomlangan Windows dasturi, report.bin deb qayta nomlangan makrosli Word hujjati, app.zip deb nomlangan Android ilova. Nom faqat oddiy matn turlari orasida tanlaydi — matnli fayl JSON, YAML yoki Python ekanini.

Mexanizmlar

Mexanizm	Nimani qidiradi
Niqob	Nomga mos kelmagan tarkib va o’zini yadro jarayoni qilib ko’rsatadigan Linux yoki macOS dasturi
PE tuzilishi	Windows dasturlaridagi importlar, seksiyalar va sarlavha anomaliyalari
Office makroslari	OLE2 va OOXML hujjatlaridan ajratilgan VBA va u nimani chaqirishi
Skript va makros naqshlari	VBA, JavaScript, VBScript va PowerShell’dagi zararli naqshlar
Statik evristika	Dastur import jadvalidagi inyeksiya va hollowing zanjirlari
Sirlar	Kodga yozib qo’yilgan kalitlar, tokenlar va parollar
Arxiv tekshiruvchisi	ZIP va TAR ichidagi path traversal, dasturlar va shifrlash
Mahalliy razvedka	Fayl hash’i, undagi manzil va domenlar — mahalliy tahdid razvedkangiz bilan solishtiriladi
YARA	Ichki qoidalar to’plami
YARA community	Hamjamiyat to’plamlari: ReversingLabs’ning 1240 qoidasi va YARA Forge’ning litsenziyasi ruxsat bergan manbalardan 2926 qoidasi. Topilmada qoida muallifi ko’rsatiladi
ClamAV	ClamAV signaturalari
Sandbox lite	Kod nima qilishini statik xulq-atvor tahlili
Ilova imzosi	Android ilovani kim imzolagani, imzo to’g’rimi va u qayta yig’ilganmi
Yashirin yuklar	Matn ichiga yashirilgan dastur va skriptlar: base64 (teskari yoki qatorlarga bo’lingani ham), hex, bayt massivlari va ular ichidagi gzip. Ochilgan narsa alohida fayl sifatida tahlil qilinadi
Java arxivlari	JAR ichidagi har bir sinf: dastur nima qila olishi, ochilgan sinflar ustida imzolar
O’rnatuvchilar	Windows Installer paketi nimani ishga tushirishi va ichidagi har bir fayl, CAB bilan birga
Android ilovalari	Ruxsatlar, komponentlar va tizim chaqiruvlari: bank troyani kabi aniq ish shakli
O’xshash namunalar	Ma’lum zararli dasturlarga yaqin izlar: hech qaysi imzo nomlamagan qarindoshlar
Yorliqlar	Windows yorlig’i ichidagi buyruq
Imkoniyatlar (capa)	Windows yoki Linux dasturi nima qila olishi, Mandiant capa uning kodidan o’qiydi, ko’pi ATT&CK bilan bog’langan. To’rt yadro va 8 GB bo’sh joyi bor serverda ishlaydi

YARA, ClamAV, capa, makros va sandbox mexanizmlari uchun ularning komponentlari o’rnatilgan bo’lishi kerak. Biri yo’q bo’lsa, u skipped deb xabar beradi — hech qachon “toza” deb emas. O’z serveringizdagi platformada ClamAV bor.

Ball

Xulosa	Qachon
Xavfli	Faylni nimadir nomladi: imzo, ma’lum zararli hash, aynan shu zararli dastur uchun yozilgan qoida yoki niqob. Ball bunda 50 va undan yuqori.
Shubhali	40 va undan yuqori, hech narsa nomlamagan: qila oladigan ishi, riskware, zararli ish shakli
Xavfi past	25–39
Tahdid topilmadi	0–24

Bir xil ball hamma joyda bir xil so’z bilan o’qiladi: telefonda, kompyuterda, skanlar tarixida va hisobotlarda.

Natija Nega bu baho bilan boshlanadi: xulosa nimaga tayanishi bir gapda va uning sabablari, konsol tilida. Aniqlovchi bergan nom o’zgarishsiz qoladi.

Natija har bir mexanizmni holati va topilmalari bilan ko’rsatadi, shuning uchun ball nima uchun aynan shunday ekanini ko’rasiz. Baytlari bo’yicha bo’limi tarkib e’lon qilgan turni fayl kelgan nom yonida ko’rsatadi.

VirusTotal

Agar administrator VirusTotal kalitini sozlagan bo’lsa va deployment air-gap rejimida bo’lmasa, fayl hash’i u yerda ham tekshiriladi. Faqat hash yuboriladi, fayl hech qachon. 40 yoki undan ortiq VirusTotal mexanizmi toza degan faylda faqat evristikaga asoslangan topilmalarning og’irligi shunga yarasha kamaytiriladi.

Hukm nimani anglatadi

• Xavfli uchun faylni nimadir nomlashi kerak: imzo, ma’lum zararli hash, aynan shu zararli dastur yoki vosita uchun yozilgan qoida yoki niqob. Dastur nima qila olishining o’zi yetarli emas.
• Shubhali — hech narsa nomlamagan dastur yoki ilova qila oladigan ishi uchun oladigan hukm. Dastur importlaridagi inyeksiya zanjiri shunday o’qiladi: debugger’larda ham bor.
• Riskware — muallifning o’z nusxasi bo’lmagan ilova yoki keraksiz dastur imzosi mos kelgan fayl. Shubhali, zararli emas.
• Maxfiy ma’lumot — ichida kalit yoki parol bor fayl. Zararli emas, lekin uni boshqalarga bermaslik kerak.
• Qisman tekshirildi — skaner o’qiy olmagan fayl: u ochmaydigan formatdagi siqilgan yoki shifrlangan baytlar, audio va video. Hech qachon toza deb ko’rsatilmaydi.

Arxivlar

ZIP, TAR, GZIP, BZIP2 va XZ ichidagi fayllar bittalab tahlil qilinadi: ikki qavat chuqurlikkacha, arxivda 64 tagacha, eng xavflilari birinchi. Arxiv ichidagisining hukmini oladi, natijada har bir fayl ko’rsatiladi. Arxiv ichida dastur borligi qayd etiladi, lekin buning o’zi unga qarshi topilma emas.

Android ilovalari

Ilova imzosi mexanizmi ilovani ishga tushirmasdan uning paket nomini va imzo sertifikatlarini o’qiydi. Ochiq test kaliti bilan imzolangan ilova, imzo sxemalari turli kalitlarni ko’rsatadigan ilova va sayt imzolagan, nomida “mod” bor nusxa riskware deb chiqadi.

Imzoning o’zi Android tekshirgandek tekshiriladi (v2 va v3 sxemalari): imzo to’g’ri bo’lishi, kaliti sertifikatnikiga mos kelishi va imzolangan xesh aynan shu faylniki bo’lishi kerak. Imzodan keyin o’zgartirilgan fayl yoki birovning ilovasiga nusxalangan sertifikat riskware deb chiqadi. Faqat eski usulda (v1) imzolangan ilova tekshirilmaydi va ishonch olmaydi.

Mashhur ilovalarning kalitlari tizimga kiritilgan: Telegram, WhatsApp, Signal, Zoom, AnyDesk, TeamViewer, Firefox, Brave, VLC, Bitwarden va F-Droid. Har biri muallifning o’z saytidagi yuklamadan olingan. Shu kalit bilan imzolangan va imzosi to’g’ri nusxa muallifning o’z nusxasi hisoblanadi, so’ragan ruxsatlari unga qarshi sanalmaydi. Xuddi shu paket nomidagi boshqa kalitli nusxa qayta yig’ilgan deb chiqadi. Faqat do’kon orqali tarqaladigan ilovalar ro’yxatda yo’q: administrator ishonadigan nusxasining kalitini yozib qo’yishi mumkin.

Ilova nima qila olishi Ilova nima qila oladi ostida ko’rsatiladi (SMS o’qiydi, boshqa ilovalar ustidan chizadi, kamera, telefon yonganda ishga tushadi va hokazo) va ball bermaydi: messenjer ham, josus dastur ham bir xil ruxsat so’raydi. Xulosa ish shakliga tayanadi, u 101 ta toza ilovada sanalgan va 406 tasida tekshirilgan:

• Shubhali: telefon yonganda ishga tushadigan va maxfiy ruxsatlari bor yashirin ilova (ilovalar ro’yxatida belgisi yo’q); xabar yoki bildirishnomalarni o’qiydigan va kodida Telegram bot API nomi bor ilova, Markaziy Osiyodagi SMS o’g’rilari shunday xabar beradi; yashirin yoki botga yozadigan ilovada bank troyani ruxsatlari. 406 ta toza ilovaning birortasida bular yo’q.
• Xavfi past: bank troyani ruxsatlari yolg’iz o’zi (maxsus imkoniyatlar, ilovalar ustidan chizish, xabarlarni o’qish), avtomatlashtirish vositalarida ham bor; qurilmani qulflay yoki tozalay oladigan administrator, ilova qulflovchilari ham shunday.
• Riskware: imzosi to’g’ri kelmaydi, ochiq test kaliti, qayta yig’ilgan nusxa.

Manifesti o’qilmagan ilova “qisman tekshirildi” deb ko’rsatiladi. Ilova ichidagi Windows dasturi unga qarshi dalil; Windows kutubxonasi esa emas, chunki Java kutubxonalari va .NET ilovalari ularni olib yuradi.

Onlayn va internetsiz serverda

Ikkalasida ham bir xil mexanizmlar ishlaydi. Internetga ulangan server, administrator ruxsat bersa, ochiq hash bazalaridan ham so’raydi; internetsiz serverda ular “o’chiq” deb ko’rsatiladi, “toza” deb emas. MalwareBazaar va ThreatFox uchun administratorning bepul abuse.ch kaliti kerak (LEGIT_ABUSECH_AUTH_KEY); kalitsiz ulardan so’ralmaydi va “kalit kerak” deb ko’rsatiladi. Faqat faylning xeshi yuboriladi, faylning o’zi hech qachon. ClamAV imzolari internetsiz serverga imzolangan yangilanish paketi bilan keladi. Skaner sahifasi yuklashdan oldin nechta mexanizm tayyorligini, imzolar necha kunlikligini va bu server qabul qiladigan eng katta faylni aytadi.

Cheklovlar

Fayl hajmi 1 GB gacha; haqiqiy chegarani server xotirasi belgilaydi, skaner sahifasi uni ko’rsatadi. Tarifingiz tenant haftasiga nechta fayl skanerlay olishini belgilaydi; undan oshsa, skan cheklov qachon yangilanishi aytilgan holda rad etiladi.

Saqlangan fayllar

Tekshirilgan fayl natijani qayta ochish mumkin bo’lishi uchun tekshiruvi bilan birga tarixda saqlanadi. Tekshiruvni o’chirsangiz, fayl va uning hisobotlari ham o’chadi; boshqa tekshiruv hali foydalanayotgan fayl o’sha tekshiruv ham o’chirilgunicha qoladi.