Зачем использовать NotHoly для анализа malware

У triage подозрительного образца две потребности, тянущие в разные стороны: быстрое чтение того, что это, и модель, которая реально его обсудит. Обычный ассистент отказывает во второй в тот миг, когда появляется слово malware. Общая платформа не даёт первого безопасно, потому что запуск образца это единственное, чего вы не хотите, чтобы она делала. NotHoly берёт на себя статическую сторону и объяснение, и никогда не запускает образец. Детонация остаётся в вашей изолированной лаборатории. Сценарий detection engineering покрывает правила, которые вы строите из неё.

#Статический triage без запуска образца

Прикрепите образец в чате или запустите notholy analyze, и парсер извлекает первую картину, ничего не исполняя. Для PE или ELF вы получите SHA-256, размер, энтропию, формат, entry point, секции и imports. Вы получите strings и предпросмотр дизассемблера с начала файла. Архив даёт своё дерево, документ даёт свой текст без запуска макроса или скрипта, а pickle Python разбирается, но никогда не загружается. Паттерн ключа или token поднимает предупреждение credentials_detected, а zip bomb останавливается рано с сообщением. Каждый файл разбирается в одноразовом sandbox без сети и с корнем только для чтения, потому что загруженный файл считается враждебным. Справочник по файлам содержит типы и пределы.

notholy analyze ./sample.exe

#Модель объясняет и называет технику

Со статическими фактами в руках модель читает их, не застревая на том, разрешён ли анализ, потому что анализ и есть работа. Она объясняет, на что намекает секция или import, группирует strings в то, что похоже на C2, persistence или anti-analysis, и ложит поведение на MITRE ATT&CK, который есть в базе знаний с атрибуцией, которую требует MITRE. Попросите правило YARA или Sigma, и она набросает его из индикаторов, которые вы подтвердили. Строка версии или продукта может пойти в lookup CVE, который сообщает, есть ли CVE в CISA KEV и есть ли у него известное применение в ransomware. И база знаний, и данные CVE читаются через CLI и через API, так что пакет образцов проходит triage из скрипта. Когда документ это образец, парсер вытягивает его текст без запуска макроса, так что вредоносный office-файл или PDF отдаёт встроенный скрипт и URL, чтобы модель читала, а не исполняла. Результат это чтение, которое можно положить перед коллегой, с названной техникой и источником на каждом утверждении.

strings -n 8 ./sample.exe | notholy "group these by C2, persistence and anti-analysis, then draft a YARA rule"

#Ваш образец остаётся в пределах

Ничто, что вы загружаете, не исполняется, и нет динамического анализа, так что образец никогда не идёт у нас и не достаёт до цели. Файл, который вы шлёте на анализ, хранится зашифрованным, с записанным сроком в один час. Автоматическое удаление пока не активно, так что напишите на [email protected], чтобы один убрать. Инференс API не хранит ни prompt, ни ответ, только метаданные, так что анализ, который вы ведёте через API, не сохраняется. База знаний и модель несут технику и документацию, не работающий malware, так что это место, чтобы понять образец, а не место, чтобы его достать.

#Где не подходит

Это статический triage, не камера детонации. Нет динамического анализа, нет захвата сети и нет unpacking во время выполнения, так что упакованный или знающий о sandbox образец отдаёт своё настоящее поведение только в вашей лаборатории. Нет декомпилятора и нет графа потока управления, а предпросмотр дизассемблера это только начало файла. Модель может назвать не ту семью, пропустить индикатор или выдумать его, так что подтверждайте каждый IOC, прежде чем он попадёт в отчёт или в список блокировки. Картинки дают только размеры, без OCR пока.

Держите детонацию в своей лаборатории, а NotHoly пусть делает triage и объясняет. Положите небольшой баланс на тарифы и пришлите первый образец.