Важно Zer0Kernel AV: локальный статический анализ подозрительных файлов без запуска

Zer0Kernel AV — экспериментальный сервис для статического анализа подозрительных файлов, скриптов, исполняемых программ, документов Microsoft Office и архивов.

Сервис доступен по адресу:

Zer0Kernel AV — Static Threat Analyzer

Главный принцип работы:

Загруженный файл исследуется как набор данных, но не запускается как программа.

Zer0Kernel AV не открывает EXE через Wine, не выполняет загруженные PHP-, Bash- или PowerShell-скрипты и не разрешает образцу самостоятельно обращаться в Интернет.

---

## Для чего нужен Zer0Kernel AV

Сервис предназначен для первичного исследования файлов, происхождение или назначение которых вызывает вопросы.

Например, с его помощью можно проверить:

• неизвестный EXE, DLL, SYS или SCR;
• PHP-плагин или дополнение для сайта;
• подозрительный PHP-файл на сервере;
• PowerShell-, Bash-, Python- или JavaScript-скрипт;
• BAT/CMD-файл;
• документ Microsoft Office с макросами;
• ZIP-архив с программой или исходным кодом;
• архив плагина XenForo, WordPress или другого веб-приложения;
• файл, найденный во время расследования инцидента;
• вложение из электронной почты;
• скрипт установки, скачанный с неизвестного сайта;
• набор файлов, в котором могут находиться веб-шеллы, загрузчики или обфусцированный код.

Zer0Kernel AV особенно полезен в тех случаях, когда файл ещё рано запускать даже в тестовой системе, но необходимо быстро понять:

• из чего он состоит;
• какие действия он потенциально может выполнять;
• присутствуют ли подозрительные функции;
• имеются ли URL, IP-адреса, домены, пути или ключи реестра;
• используется ли обфускация;
• есть ли макросы;
• содержит ли архив вложенные EXE, PHP, Bash или PowerShell-файлы;
• какие элементы требуют ручного анализа.

---

# Важное предупреждение

Статический анализ не доказывает, что файл является вредоносным. Обнаруженные признаки требуют проверки специалистом.

Наличие функции unserialize() в PHP, eval() в JavaScript, сетевого API в EXE или высокой энтропии PE-секции само по себе не означает, что перед нами вредоносная программа.

Многие легитимные приложения используют потенциально опасные возможности:

• установщики запускают процессы;
• отладчики работают с памятью других процессов;
• плагины десериализуют данные;
• браузерные библиотеки используют динамический JavaScript;
• обновляторы скачивают файлы;
• системные программы изменяют реестр;
• защитное ПО применяет API, похожие на техники внедрения кода.

Zer0Kernel AV не выдаёт юридически или технически окончательный вердикт. Он помогает быстро выделить места, которые необходимо исследовать вручную.

---

# Как устроен анализ

Общая последовательность выглядит так:

Пользователь загружает файл
        ↓
FastAPI принимает файл и проверяет размер
        ↓
Файл получает случайный идентификатор задания
        ↓
Определяется тип файла
        ↓
Задание помещается в очередь Redis/RQ
        ↓
Изолированный analyzer-worker выполняет статический анализ
        ↓
При необходимости архив безопасно распаковывается
        ↓
Каждый вложенный файл анализируется отдельно
        ↓
Находки объединяются и рассчитывается оценка риска
        ↓
Формируется технический JSON-отчёт
        ↓
Zer0Kernel формирует русскоязычное заключение
        ↓
Исходный файл и распакованные данные удаляются
        ↓
Отчёт доступен 24 часа

Анализ выполняется отдельным Docker-контейнером. Контейнер не имеет доступа к основной файловой системе сервера и не получает Docker Socket.

---

# Какие файлы поддерживаются

| Категория | Примеры |
|---|---|
| PowerShell | .ps1, .psm1, .psd1 |
| Bash и Shell | .sh, .bash, .zsh |
| Python | .py, .pyw |
| JavaScript | .js, .mjs, .cjs |
| PHP | .php, .phtml |
| BAT/CMD | .bat, .cmd |
| VBA | .vba, .bas |
| PE | .exe, .dll, .sys, .scr, .cpl, .ocx |
| Microsoft Office | .doc, .docm, .docx, .xls, .xlsm, .xlsx, .xlsb, .ppt, .pptm, .pptx, .rtf |
| Архивы | .zip, .tar, .tar.gz, .tgz, .gz, .bz2, .xz |
| Прочие текстовые файлы | конфигурации, исходный код, неизвестные текстовые форматы |
| Прочие бинарные файлы | базовые хеши, строки, YARA и IOC |

Тип файла определяется не только по расширению.

Например:

• PE определяется по заголовку MZ;
• старый формат Microsoft Office определяется по OLE-сигнатуре;
• ZIP и TAR дополнительно проверяются средствами архивных библиотек;
• неизвестный файл проверяется на наличие текстового содержимого.

Поэтому переименование payload.exe в document.txt не обязательно скроет реальный тип файла.

---

# Ограничения размеров

Для защиты сервера от слишком больших файлов и архивных бомб используются лимиты.

| Объект | Максимальный размер |
|---|---:|
| Скрипт или текстовый файл | 2 МБ |
| PE-файл | 20 МБ |
| Документ Microsoft Office | 20 МБ |
| Загружаемый архив | 20 МБ |
| Один файл после распаковки | 20 МБ |
| Все распакованные данные | 100 МБ |
| Количество файлов в архивном дереве | 500 |
| Вложенность архивов | 3 уровня |
| Коэффициент сжатия одного элемента | не более 100:1 |
| Хранение отчёта | 24 часа |

Если файл превышает лимит, он получает статус skipped, а причина отображается в отчёте.

Если достигнут предел вложенности архива, анализ получает статус partial.

---

# Что проверяется у каждого файла

Независимо от типа файла Zer0Kernel AV выполняет несколько базовых операций.

## 1. Расчёт хешей

Для каждого файла рассчитываются:

• MD5;
• SHA-1;
• SHA-256.

SHA-256 удобно использовать для:

• сравнения файлов;
• поиска повторно загруженных образцов;
• проверки целостности;
• сопоставления с другими отчётами;
• ручного поиска в репутационных системах.

Хеш сам по себе ничего не говорит о поведении файла, но однозначно идентифицирует конкретное содержимое.

---

## 2. Извлечение строк

Из бинарных и исполняемых файлов извлекаются:

• ASCII-строки;
• UTF-16LE-строки.

Минимальная длина обычной строки — пять символов.

Строки могут содержать:

• URL;
• домены;
• IP-адреса;
• команды;
• пути к файлам;
• имена процессов;
• ключи реестра;
• User-Agent;
• имена служб;
• названия Scheduled Tasks;
• сообщения об ошибках;
• внутренние имена функций;
• сведения о конфигурации программы.

Наличие строки не доказывает, что программа обязательно её использует. Строка может находиться в неиспользуемом коде, отладочной информации или документации.

---

## 3. Поиск IOC

IOC — это индикаторы, которые могут быть полезны при расследовании.

Zer0Kernel AV извлекает:

• HTTP- и HTTPS-ссылки;
• IPv4-адреса;
• доменные имена;
• адреса электронной почты;
• MD5;
• SHA-1;
• SHA-256;
• Windows-пути;
• ключи реестра.

Например:

https://example.org/update.bin
192.0.2.10
C:\Users\Public\update.exe
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Важно понимать, что IOC извлекаются синтаксически.

Сервис не утверждает, что каждый найденный URL или домен является вредоносным. В коде могут встречаться:

• обычные CDN;
• адреса документации;
• тестовые домены;
• ссылки на GitHub;
• имена библиотек;
• строки, лишь похожие на домены.

IOC необходимо проверять в контексте файла.

---

## 4. YARA

Для файлов запускается проверка YARA-правилами.

В базовой конфигурации присутствуют правила для обнаружения:

• PowerShell-цепочки «загрузка и динамическое выполнение»;
• PHP-конструкций вида eval(base64_decode(...));
• одновременного использования нескольких Windows LOLBins.

Например, сочетание:

Invoke-WebRequest
Invoke-Expression

может быть отмечено как подозрительная PowerShell-цепочка.

YARA-совпадение добавляется в отчёт как отдельная находка с:

• категорией;
• уровнем риска;
• уверенностью;
• названием правила;
• описанием.

Текущий набор YARA не является полной антивирусной базой. Эффективность этого слоя можно постепенно увеличивать, добавляя новые проверенные правила.

---

## 5. Безопасное декодирование Base64

В текстовых файлах ищутся длинные последовательности, похожие на Base64.

Сервис пытается декодировать их как:

• UTF-8;
• UTF-16LE;
• Latin-1.

Декодированный результат только отображается и повторно исследуется как текст.

Он не передаётся в:

eval()
exec()
compile()

и не запускается.

Установлены ограничения:

• количество кандидатов;
• максимальная длина закодированной строки;
• максимальный размер результата;
• проверка доли печатных символов.

Это помогает находить скрытые команды в PowerShell, PHP, Bash, Python и других скриптах.

---

# Анализ PowerShell

Для PowerShell проверяются конструкции, часто встречающиеся в загрузчиках, административных скриптах и вредоносном коде.

Обнаруживаются:

• Invoke-Expression;
• сокращение IEX;
• Invoke-WebRequest;
• iwr;
• DownloadString;
• Net.WebClient;
• -EncodedCommand;
• FromBase64String;
• Add-MpPreference;
• Set-MpPreference;
• создание Scheduled Tasks;
• загрузка .NET-сборок через Reflection.Assembly::Load;
• сочетание сетевой загрузки и выполнения кода.

Особенно подозрительной считается цепочка:

загрузка данных
        ↓
декодирование
        ↓
динамическое выполнение

Но даже такая цепочка требует проверки: подобные конструкции могут использоваться и в легитимных скриптах развёртывания.

---

# Расширенный анализ Bash и Shell

Bash-анализатор проверяет не только отдельные слова, но и некоторые сочетания действий.

## Загрузка и немедленное выполнение

Проверяются конструкции вида:

curl ... | bash
wget ... | sh
bash <(curl ...)
bash -c "$(curl ...)"
eval "$(wget ...)"

Также проверяется декодирование с передачей результата в оболочку:

Base64 → shell
Hex → shell
OpenSSL decode → shell

Такие цепочки считаются значительно опаснее, чем простое присутствие curl или wget.

---

## Работа с /tmp и /dev/shm

Проверяется:

• загрузка файлов в /tmp;
• загрузка в /dev/shm;
• создание скрытых файлов вроде /tmp/.update;
• установка права на выполнение;
• запуск файла из временного каталога.

Если в одном скрипте обнаруживается:

загрузка в /tmp или /dev/shm
        ↓
chmod +x
        ↓
запуск

создаётся отдельная корреляционная находка высокого риска.

---

## Reverse shell

Проверяются признаки обратных оболочек через:

• /dev/tcp;
• /dev/udp;
• bash -i;
• nc;
• ncat;
• netcat;
• socat EXEC;
• FIFO и netcat;
• Python one-liner;
• Perl one-liner;
• PHP one-liner.

Сам скрипт не запускается. Анализатор только ищет характерные конструкции.

---

## SSH persistence

Обнаруживаются операции с:

~/.ssh/authorized_keys
/root/.ssh/authorized_keys
/home/*/.ssh/authorized_keys

Особенно важный признак:

SSH-ключ → запись в authorized_keys

Также проверяются обращения к:

• SSH private keys;
• .ssh/config;
• id_rsa;
• id_ed25519.

---

## Cron, systemd и автозапуск

Проверяются:

• crontab;
• /etc/crontab;
• /etc/cron.d;
• /var/spool/cron;
• systemd service units;
• systemctl enable;
• daemon-reload;
• /etc/rc.local;
• /etc/init.d;
• .bashrc;
• .profile;
• .zshrc;
• /etc/profile.d;
• задания через at.

Это может указывать на попытку закрепления в системе.

---

## Очистка следов

Проверяются:

history -c
unset HISTFILE
HISTFILE=/dev/null
set +o history

Также обнаруживаются:

• удаление файлов в /var/log;
• обнуление журналов;
• truncate -s 0;
• запись /dev/null в журнал;
• journalctl --vacuum-*;
• удаление .bash_history;
• удаление .zsh_history.

---

## Отключение защиты

Анализатор отмечает:

• остановку auditd;
• остановку rsyslog;
• отключение firewall;
• ufw disable;
• iptables -F;
• nft flush ruleset;
• setenforce 0;
• остановку ClamAV;
• остановку Falco;
• остановку osquery;
• отключение некоторых endpoint-агентов.

---

## Поиск учётных данных

Проверяются обращения к:

/etc/shadow
/etc/gshadow
~/.ssh/id_rsa
~/.ssh/id_ed25519
.aws/credentials
.config/gcloud/credentials
.kube/config
.docker/config.json
.bash_history
.mysql_history

Также отмечается поиск файлов:

id_rsa
.env
credentials
wallet.dat
Login Data

Если в одном скрипте присутствуют поиск учётных данных и команда отправки файла, формируется корреляция возможной эксфильтрации.

---

## Повышение привилегий и разрушительные команды

Проверяются:

• изменение /etc/sudoers;
• установка SUID;
• setcap cap_setuid;
• setcap cap_setgid;
• рекурсивное удаление системных каталогов;
• mkfs;
• запись через dd непосредственно на диск;
• fork bomb.

---

## Майнеры и эксфильтрация

Проверяются:

• XMRig;
• cpuminer;
• minerd;
• Stratum URL;
• загрузка файлов через curl;
• передача архивов в сетевую утилиту;
• упаковка данных перед отправкой.

Bash-анализатор объединяет строки, продолженные через обратный слеш:

curl https://example.org/install \
    | bash

Обычные неисполняемые комментарии стараются исключаться из проверки.

---

# Анализ Python

Для Python проверяются:

• os.system;
• os.popen;
• subprocess.Popen;
• subprocess.run;
• subprocess.call;
• subprocess.check_output;
• marshal.loads;
• pickle.loads;
• socket.socket;
• ctypes;
• winreg;
• keyring.

Обнаруживаются потенциальные признаки:

• запуска системных команд;
• создания процессов;
• работы с сокетами;
• загрузки сериализованных данных;
• доступа к Windows API;
• обращения к реестру и хранилищам учётных данных.

---

# Анализ JavaScript

Для JavaScript проверяются:

• eval;
• Function;
• child_process;
• child_process.exec;
• child_process.spawn;
• fetch;
• XMLHttpRequest;
• WebSocket;
• ActiveXObject;
• WScript.Shell;
• document.cookie.

Сервис различает потенциально опасные возможности, но не всегда может определить контекст.

Например:

fetch("/api/data")

является обычной конструкцией веб-приложения.

А сочетание:

require("child_process")
child_process.exec(...)

уже требует более внимательного анализа.

Минифицированный JavaScript сам по себе не считается доказательством вредоносности.

---

# Расширенный анализ PHP

PHP-анализатор предназначен в том числе для поиска:

• веб-шеллов;
• загрузчиков;
• обфусцированного PHP;
• небезопасной десериализации;
• выполнения пользовательских команд;
• опасной загрузки файлов;
• динамического подключения кода.

PHP-файл не передаётся интерпретатору и не выполняется.

---

## Выполнение команд и кода

Проверяются:

eval()
assert()
system()
exec()
shell_exec()
passthru()
popen()
proc_open()
pcntl_exec()

Также проверяется оператор обратных кавычек PHP:

$output = `id`;

Необходимо учитывать, что обратные кавычки внутри SQL-запросов могут быть обычным экранированием имён таблиц и столбцов. Поэтому найденный фрагмент всегда нужно проверять вручную.

---

## Обфускация

Обнаруживаются:

base64_decode()
gzinflate()
gzuncompress()
gzdecode()
str_rot13()
hex2bin()
convert_uudecode()
pack()

Особенно опасны цепочки:

eval(base64_decode(...));

eval(gzinflate(base64_decode(...)));

assert(gzuncompress(...));

Также проверяются:

• длинные последовательности chr();
• крупные Base64-литералы;
• длинные \xNN-последовательности;
• очень длинные строки исходного кода;
• variable functions;
• variable variables;
• динамические callbacks;
• create_function;
• call_user_func;
• call_user_func_array.

---

## Небезопасная десериализация

Проверяется:

unserialize(...)

Само наличие unserialize() не означает выполнение произвольного кода.

Реальный риск зависит от:

• происхождения данных;
• доступных PHP-классов;
• наличия magic methods;
• проверки целостности;
• версии приложения;
• возможности пользователя управлять сериализованной строкой.

Значительно опаснее ситуация:

$_POST / $_GET / $_COOKIE
        ↓
переменная
        ↓
unserialize()

---

## Облегчённый taint-анализ

Zer0Kernel AV отслеживает простое движение пользовательских данных.

Источники:

$_GET
$_POST
$_REQUEST
$_COOKIE
$_FILES
$_SERVER
$GLOBALS
php://input
filter_input()
getenv()

Опасные точки назначения:

eval / assert
system / exec / shell_exec
include / require
unserialize
file_put_contents
move_uploaded_file
SQL query
curl
file_get_contents
socket
динамический callback

Например:

<?php

$cmd = $_POST['cmd'];
$copy = trim($cmd);

system($copy);

Анализатор построит упрощённую цепочку:

POST
  ↓
$cmd
  ↓
$copy
  ↓
system()

И отметит возможный канал удалённого выполнения команд.

Это не полноценный межпроцедурный PHP-анализатор. Он может пропускать:

• сложные массивы;
• объекты;
• reflection;
• данные между несколькими файлами;
• динамически создаваемые имена;
• код, формируемый во время выполнения.

---

## Подключение файлов и PHP streams

Проверяются:

include
include_once
require
require_once

Особое внимание уделяется схемам:

http://
https://
ftp://
data://
php://
phar://

Например, динамический include через пользовательский параметр может указывать на Local File Inclusion или Remote File Inclusion.

---

## Запись файлов и persistence

Проверяются:

file_put_contents()
fwrite()
fputs()
copy()
rename()
chmod()
touch()
unlink()
move_uploaded_file()

Также ищутся ссылки на:

.user.ini
.htaccess
auto_prepend_file
authorized_keys
/etc/cron
/var/spool/cron

Это помогает обнаруживать PHP-код, способный изменять конфигурацию сайта или закрепляться в системе.

---

## Другие PHP-признаки

Проверяются:

• обработка $_FILES;
• сетевые функции;
• curl;
• fsockopen;
• stream_socket_client;
• подавление ошибок через @;
• отключение вывода ошибок;
• unlink(__FILE__);
• extract($_POST);
• set_time_limit(0);
• ignore_user_abort(true).

Если в одном файле одновременно обнаруживаются:

сеть
    +
запись файла
    +
выполнение

создаётся отдельная находка возможной цепочки:

download → write → execute

---

# Анализ BAT и CMD

Проверяются:

• PowerShell с -EncodedCommand;
• certutil;
• bitsadmin;
• mshta;
• rundll32;
• regsvr32;
• создание Scheduled Task;
• создание Windows Service;
• удаление теневых копий через vssadmin.

Такие инструменты могут использоваться как легитимными администраторами, так и в атаках Living off the Land.

---

# Анализ документов Microsoft Office

Для документов Office используется статический анализ макросов.

Поддерживаются старые OLE-документы и современные Office-контейнеры.

Проверяется:

• наличие VBA-макросов;
• список модулей;
• исходный код макросов;
• автоматически запускаемые процедуры;
• подозрительные функции;
• IOC;
• распространённые способы обфускации.

Особое внимание уделяется:

AutoOpen
Document_Open
Workbook_Open
Shell
CreateObject
GetObject
WScript.Shell
URLDownloadToFile

Макросы не запускаются.

---

# Анализ EXE, DLL, SYS и других PE-файлов

PE-анализ состоит из нескольких уровней.

---

## Уровень 1: структура PE через pefile

Из файла извлекаются:

• архитектура;
• timestamp из заголовка;
• точка входа;
• Image Base;
• subsystem;
• imphash;
• секции;
• виртуальные размеры;
• физические размеры;
• характеристики секций;
• энтропия;
• импортируемые DLL;
• импортируемые функции;
• предупреждения PE-парсера.

---

## Подозрительные импорты

Отмечаются API, связанные с потенциально опасными возможностями.

Например:

CreateRemoteThread
WriteProcessMemory
VirtualAllocEx
WinExec
ShellExecuteA
ShellExecuteW
URLDownloadToFileA
URLDownloadToFileW
InternetOpenUrlA
InternetOpenUrlW
RegSetValueExA
RegSetValueExW
IsDebuggerPresent
CheckRemoteDebuggerPresent

Комбинация:

VirtualAllocEx
    ↓
WriteProcessMemory
    ↓
CreateRemoteThread

может быть связана с внедрением кода в другой процесс.

Но наличие импорта ещё не доказывает вызов функции. Эти API могут использовать:

• отладчики;
• EDR;
• инструменты администрирования;
• редакторы памяти;
• установщики;
• защитное ПО.

Поэтому находки по импортам имеют ограниченную уверенность.

---

## Энтропия секций

Для каждой секции PE рассчитывается энтропия.

Высокая энтропия крупной секции может указывать на:

• упаковщик;
• сжатие;
• шифрование;
• обфускацию;
• встроенный архив;
• зашифрованную конфигурацию.

Секция отмечается как подозрительная примерно при условиях:

энтропия не ниже 7.2
размер не меньше 4096 байт

Это эвристика. Сжатые изображения и другие легитимные ресурсы тоже могут иметь высокую энтропию.

---

## Уровень 2: capa

capa анализирует машинный код и пытается определить потенциальные возможности программы.

Он способен находить признаки:

• создания процессов;
• загрузки кода;
• process injection;
• shellcode;
• process hollowing;
• сетевого взаимодействия;
• HTTP, DNS и сокетов;
• создания служб;
• Scheduled Tasks;
• persistence;
• доступа к учётным данным;
• keylogging;
• anti-debug;
• anti-VM;
• упаковки;
• обфускации;
• системной разведки;
• разрушительных действий.

В отчёт сохраняются:

• название правила capa;
• namespace;
• описание;
• количество совпадений;
• адреса совпадений;
• ATT&CK-метаданные;
• MBC-метаданные.

Чтобы сотни низкоуровневых правил не завышали риск до 100/100, результаты capa дополнительно группируются.

Например, множество сетевых capa-правил может сформировать одну оценочную технику:

capa_network_capabilities

Полный список capabilities остаётся в техническом отчёте.

---

## Уровень 3: FLOSS

FLOSS предназначен для извлечения строк, которые могут отсутствовать среди обычных ASCII- и UTF-16-строк.

В текущей конфигурации Zer0Kernel AV использует FLOSS для поиска:

• decoded strings — строк, восстановленных функциями декодирования;
• stack strings — строк, собираемых на стеке.

Обычные статические строки Zer0Kernel AV извлекает самостоятельно.

Режим tight strings может быть отключён для уменьшения времени анализа.

FLOSS способен восстановить, например:

powershell.exe -EncodedCommand ...
https://example.org/gate
Software\Microsoft\Windows\CurrentVersion\Run
schtasks /create ...
vssadmin delete shadows ...

Восстановленные строки повторно проверяются на:

• URL;
• сетевые индикаторы;
• PowerShell;
• CMD;
• LOLBins;
• process injection API;
• persistence;
• доступ к браузерным данным;
• удаление теневых копий;
• разрушительные команды.

FLOSS может работать долго, особенно на:

• больших PE;
• упакованных программах;
• файлах с большим количеством функций;
• повреждённых образцах.

Для capa и FLOSS установлены таймауты. Если один из инструментов не успел завершиться или вернул ошибку, остальные части анализа продолжают работать.

---

# Как анализируются архивы

Архив распаковывается в отдельный временный каталог.

После распаковки каждый файл проходит повторное определение типа:

plugin.zip
├── addon.json
├── install.php
├── src/
│   ├── Service.php
│   └── Listener.php
├── js/
│   └── library.min.js
└── tools/
    └── helper.exe

В этом примере:

• PHP-файлы пройдут PHP-анализ;
• JavaScript пройдёт JavaScript-анализ;
• EXE пройдёт pefile, capa и FLOSS;
• JSON и неизвестные тексты пройдут базовый анализ;
• вложенный архив будет распакован рекурсивно.

---

## Защита при распаковке

Проверяются:

• пути с ../;
• абсолютные пути;
• UNC-пути;
• Windows drive paths;
• NUL-байты;
• символические ссылки;
• hard links;
• размер каждого файла;
• общий распакованный объём;
• количество элементов;
• степень вложенности;
• коэффициент сжатия.

Таким образом, архив не должен получить возможность записать файл, например, в:

/etc/cron.d/

или:

/root/.ssh/authorized_keys

через путь вида:

../../../../root/.ssh/authorized_keys

---

## Неподдерживаемые и зашифрованные архивы

В текущей версии:

• ZIP распаковывается;
• TAR распаковывается;
• TAR.GZ и TGZ распаковываются;
• GZ распаковывается;
• BZ2 распаковывается;
• XZ распаковывается;
• 7z распознаётся, но не распаковывается;
• RAR распознаётся, но не распаковывается;
• зашифрованные элементы ZIP пропускаются.

Информация о пропущенных элементах добавляется в примечания отчёта.

---

# Как рассчитывается оценка риска

Оценка риска рассчитывается обычным программным кодом.

Локальная нейросеть не назначает баллы и не может произвольно изменить итоговую оценку.

Каждая находка имеет уровень:

| Уровень | Вес |
|---|---:|
| Low | 2 |
| Medium | 7 |
| High | 15 |
| Critical | 25 |

---

## Повторные находки не суммируются бесконечно

Оценка строится по уникальной комбинации:

категория + техника

Если одна и та же техника найдена в 100 строках, для расчёта используется её максимальный уровень, а не сумма всех 100 совпадений.

Это защищает от ситуации, когда библиотека с большим количеством одинаковых вызовов автоматически получает 100/100.

---

## Дополнительные корреляции

К основной сумме добавляются баллы за опасные сочетания категорий.

### Сеть и выполнение

network + execution = +15

Пример:

скачивание файла
        +
запуск процесса

### Выполнение и persistence

execution + persistence = +15

Пример:

выполнение команды
        +
создание Scheduled Task

### Доступ к учётным данным

credential_access = +20

### Разрушительная активность

destructive_activity = +20

Максимальная итоговая оценка ограничена:

100/100

---

## Пример расчёта

Предположим, в скрипте обнаружены:

| Находка | Баллы |
|---|---:|
| Загрузка данных — Medium | 7 |
| Выполнение команды — High | 15 |
| Создание cron-задачи — High | 15 |
| Сочетание network + execution | 15 |
| Сочетание execution + persistence | 15 |
| Итого | 67 |

Итог:

67/100

Это означает высокий приоритет для ручной проверки, но не вероятность вредоносности в 67%.

---

## Как отображается оценка

Интерфейс использует три диапазона:

| Оценка | Отображение |
|---|---|
| 0–29 | низкий уровень |
| 30–59 | средний уровень |
| 60–100 | высокий уровень |

Эти диапазоны нужны для сортировки и первичного триажа.

---

# Почему легитимный плагин может получить 58/100

Оценка 58/100 не означает:

Файл вредоносный с вероятностью 58%.

Например, обычный плагин может одновременно содержать:

• unserialize() в PHP;
• сетевые функции;
• минифицированный JavaScript;
• динамические callbacks;
• работу с файлами;
• внешние CDN-ссылки;
• код установки и удаления;
• SQL-запросы;
• обработку пользовательского ввода.

Каждая из этих функций может быть легитимной, но потенциально опасной при неправильном использовании.

Поэтому результат следует читать так:

В архиве обнаружено несколько технически опасных примитивов. Необходимо проверить, как именно они используются.

Особенно важно смотреть не только на балл, но и на:

• источник находки;
• уровень уверенности;
• строку кода;
• доказательство;
• описание;
• сочетание нескольких действий.

---

# Источники находок

В отчёте можно встретить разные значения источника.

| Источник | Значение |
|---|---|
| yara | совпадение с YARA-правилом |
| heuristic | регулярная эвристическая проверка |
| correlation | сочетание нескольких признаков |
| php_taint | движение пользовательских данных к опасной функции |
| pe_import | импорт Windows API |
| pe_structure | структурная аномалия PE |
| capa | возможность, найденная capa |
| floss | строка или группа строк, восстановленная FLOSS |
| olevba | результат анализа VBA-макросов |

---

# Уровень опасности и уверенность — разные параметры

У находки есть два независимых свойства.

## Severity

Потенциальная серьёзность действия:

low
medium
high
critical

## Confidence

Насколько уверенно статический анализатор интерпретировал признак:

low
medium
high

Например:

CreateRemoteThread

может иметь высокий потенциальный риск, но низкую уверенность, потому что наличие импорта не доказывает фактическое внедрение кода.

---

# Какую роль выполняет Zer0Kernel

После технического анализа готовый отчёт передаётся локальной модели Zer0Kernel.

Модель не получает исходный EXE, PHP, Bash или архив.

Она получает сокращённый JSON, содержащий:

• общую оценку;
• основные находки;
• наиболее рискованные файлы;
• IOC;
• результаты capa;
• результаты FLOSS;
• сведения PHP-анализатора;
• ограничения статического анализа.

Zer0Kernel формирует:

• краткий вердикт;
• уровень уверенности;
• понятное русскоязычное описание;
• подтверждённые признаки;
• возможные действия;
• IOC;
• рекомендации;
• ограничения анализа.

---

## Zer0Kernel не рассчитывает оценку

Оценка риска уже рассчитана до обращения к модели.

Схема:

Статические анализаторы
        ↓
Детерминированный расчёт риска
        ↓
Готовый JSON
        ↓
Zer0Kernel объясняет результат

Это важно, потому что языковая модель может:

• неправильно понять контекст;
• переоценить обычную функцию;
• принять имя JavaScript-объекта за домен;
• спутать SQL-кавычки с выполнением команд;
• сделать слишком уверенный вывод.

Поэтому заключение Zer0Kernel является дополнительным пояснением, а не главным доказательством.

Основным источником считаются технические находки и фрагменты кода.

---

# Что происходит с загруженными файлами

При загрузке создаётся временный каталог задания:

/var/lib/zkav/jobs/<случайный-job-id>/

Файл сохраняется под нейтральным внутренним именем:

sample.bin

Пользовательское имя используется только для отображения в отчёте.

Каталог создаётся с ограниченными правами, а сам файл недоступен другим обычным пользователям системы.

---

## Удаление после анализа

После окончания статического анализа выполняется удаление всего рабочего каталога задания.

Удаляются:

• исходный файл;
• распакованные архивы;
• вложенные файлы;
• временные данные анализатора.

Удаление выполняется даже при исключении или ошибке анализа через блок finally.

---

## Аварийная очистка

Отдельный контейнер janitor проверяет временные каталоги каждые пять минут.

Если каталог остался после:

• аварийного завершения worker;
• перезапуска контейнера;
• системной ошибки;
• незавершённого задания,

он будет удалён после истечения резервного срока.

В текущей конфигурации резервная очистка удаляет зависшие каталоги старше двух часов, если они не помечены как активно анализируемые.

---

# Как хранятся отчёты

Технический отчёт хранится в Redis.

Для каждого задания создаются:

zkav:job:<job-id>:meta
zkav:job:<job-id>:report

Для отчёта устанавливается TTL:

86400 секунд

То есть:

24 часа

После истечения TTL Redis автоматически удаляет отчёт и метаданные.

Также пользователь может нажать:

Удалить отчёт

и удалить данные раньше.

---

## Защита доступа к отчёту

Для каждого задания создаётся случайный токен доступа.

В Redis хранится не сам токен, а его SHA-256-хеш.

Получить отчёт без правильного токена невозможно через обычный API.

Это не заменяет полноценную пользовательскую авторизацию, но защищает отчёт от простого перебора UUID.

---

## Важное уточнение об удалении

Удаление из Redis и Docker Volume является логическим удалением.

Оно не гарантирует криптографическое стирание каждого физического блока диска.

Копии данных теоретически могут временно оставаться:

• в свободных блоках файловой системы;
• в Redis AOF до его перезаписи;
• в снапшотах сервера;
• в резервных копиях провайдера.

Для обычного временного анализа этого достаточно, но сервис не заявляет уровень secure erase для секретных государственных или военных данных.

---

# Изоляция анализатора

Основные компоненты работают в отдельных Docker-контейнерах.

API
        ↓
Redis
        ↓
Analyzer worker
        ↓
Технический отчёт

Redis
        ↓
Zer0Kernel enrichment worker
        ↓
Русскоязычное заключение

---

## Analyzer worker

Контейнер анализатора:

• не имеет доступа в Интернет;
• не монтирует / сервера;
• не видит /root;
• не видит /etc хоста;
• не видит /var/www;
• не получает /var/run/docker.sock;
• работает с read-only root filesystem;
• использует cap_drop: ALL;
• использует no-new-privileges;
• ограничен по CPU, RAM и количеству процессов;
• использует отдельный временный tmpfs;
• не запускает исследуемые PE и скрипты.

---

## Zer0Kernel enrichment worker

Контейнер Zer0Kernel:

• не монтирует каталог с загруженными файлами;
• не может прочитать исходный образец;
• получает только JSON;
• подключается к локальному vLLM;
• не отправляет файл во внешние нейросети.

---

## Остаточный риск

Docker-контейнеры используют общее ядро Linux.

Теоретически абсолютную защиту невозможно гарантировать из-за:

• уязвимостей ядра;
• container escape;
• уязвимостей Docker или runc;
• уязвимостей самих парсеров;
• специально повреждённых PE или Office-документов.

Поэтому Zer0Kernel AV использует несколько уровней ограничений, но не заявляет, что контейнер равен отдельной физической машине или полноценной виртуальной песочнице.

---

# Преимущества Zer0Kernel AV

## 1. Файл не запускается

Главное преимущество статического анализа — исследование файла без нормального исполнения его кода.

Это значительно безопаснее, чем открывать неизвестный EXE или запускать подозрительный скрипт на рабочем компьютере.

---

## 2. Локальная обработка

Исходные файлы не отправляются:

• в VirusTotal;
• в публичные облачные песочницы;
• во внешние AI API;
• сторонним поставщикам репутационных сервисов.

Это полезно при анализе:

• закрытого исходного кода;
• коммерческого плагина;
• внутреннего скрипта;
• конфигурации компании;
• ещё не опубликованного программного обеспечения.

---

## 3. Многослойный анализ

Один инструмент редко даёт полную картину.

Zer0Kernel AV объединяет:

YARA
+ строки
+ IOC
+ эвристики
+ PHP taint-анализ
+ oletools
+ pefile
+ capa
+ FLOSS
+ корреляции
+ локальное AI-заключение

Это позволяет увидеть файл с разных сторон.

---

## 4. Рекурсивный анализ архивов

Сервис проверяет не только сам ZIP, но и его содержимое.

Например, в архиве с плагином можно отдельно увидеть:

• PHP-файлы;
• JavaScript;
• вложенные архивы;
• неизвестные бинарные файлы;
• EXE или DLL;
• макросы Office.

---

## 5. Объяснимый результат

Отчёт показывает:

• какой файл вызвал находку;
• какая техника обнаружена;
• уровень опасности;
• уверенность;
• источник;
• строку;
• фрагмент доказательства.

Это полезнее, чем сообщение:

Threat detected

без объяснения причины.

---

## 6. Оценка не зависит от языковой модели

Риск рассчитывается детерминированно.

Даже если Zer0Kernel временно недоступен, технический отчёт и оценка сохраняются.

---

## 7. Временное хранение

Исходный файл удаляется после анализа, а отчёт автоматически исчезает через 24 часа.

---

## 8. Подходит для первичного триажа

Zer0Kernel AV позволяет быстро решить:

• файл можно изучать дальше;
• файл требует отдельной виртуальной машины;
• необходимо проверить конкретную функцию;
• следует искать оригинальную версию;
• нужно сравнить SHA-256;
• необходимо провести динамический анализ;
• файл выглядит обычным, но содержит потенциально опасные возможности.

---

# Ограничения сервиса

Zer0Kernel AV не является заменой:

• полноценного антивируса;
• EDR;
• динамической песочницы;
• ручного реверс-инжиниринга;
• аудита исходного кода специалистом;
• VirusTotal;
• репутационных баз;
• анализа сетевого поведения.

Сервис не видит фактические:

• созданные процессы;
• сетевые соединения;
• изменения реестра;
• созданные файлы;
• обращения к командному серверу;
• действия в памяти после запуска;
• поведение в зависимости от окружения;
• anti-sandbox поведение;
• полезную нагрузку, получаемую только из Интернета.

---

## Возможны ложные срабатывания

Особенно часто они возникают на:

• фреймворках;
• минифицированном JavaScript;
• установщиках;
• административных утилитах;
• обновляторах;
• плагинах сайтов;
• отладчиках;
• защитных программах;
• коде миграции базы данных;
• легитимной сериализации.

---

## Возможны пропуски

Статический анализ может пропустить:

• полностью зашифрованную полезную нагрузку;
• динамически вычисляемые API;
• API hashing;
• код, загружаемый из сети;
• сложную обфускацию;
• неизвестный упаковщик;
• полиморфный код;
• поведение, активируемое только на определённой машине;
• код внутри зашифрованного архива;
• shell-команды, формируемые в runtime.

---

## Нет полноценной проверки цифровой подписи

Текущая версия извлекает PE-структуру, но не выполняет полноценную проверку:

• Authenticode;
• цепочки сертификатов;
• отзыва сертификата;
• репутации издателя.

Наличие цифровой подписи также не гарантирует безопасность, но её проверка полезна и может быть добавлена в будущих версиях.

---

# Как правильно читать отчёт

Рекомендуемый порядок:

1. Посмотреть общую оценку риска.
2. Проверить число файлов в архиве.
3. Найти файлы с наибольшей индивидуальной оценкой.
4. Открыть критические и высокие находки.
5. Посмотреть источник находки.
6. Проверить строку и доказательство.
7. Изучить IOC.
8. Прочитать заключение Zer0Kernel.
9. Сравнить SHA-256 с официальным источником.
10. При необходимости провести ручной или динамический анализ.

---

# Когда файл требует особого внимания

Особенно внимательно следует исследовать файл, если одновременно присутствуют:

загрузка данных
+
выполнение
+
persistence

или:

доступ к учётным данным
+
упаковка
+
передача данных в сеть

или:

обфускация
+
декодирование
+
eval/exec

или:

process injection
+
anti-debug
+
сетевое взаимодействие

Одно совпадение может быть случайным. Несколько связанных действий значительно важнее.

---

# Можно ли считать Zer0Kernel AV антивирусом

В привычном смысле — нет.

Сервис:

• не работает в реальном времени;
• не контролирует процессы;
• не блокирует запуск;
• не проверяет каждую запись на диск;
• не имеет драйвера;
• не заменяет Microsoft Defender или EDR;
• не имеет огромной коммерческой базы сигнатур.

Правильнее называть его:

статическим анализатором угроз

или:

сервисом первичного анализа подозрительных файлов

Название AV используется как короткое и понятное обозначение проекта.

---

# Итог

Zer0Kernel AV объединяет классические инструменты статического анализа и локальную нейросеть.

Сервис позволяет:

• безопасно принять подозрительный файл;
• определить его тип;
• проверить хеши;
• извлечь строки;
• найти IOC;
• обнаружить обфускацию;
• исследовать PHP и Bash;
• извлечь VBA-макросы;
• разобрать PE;
• определить возможности через capa;
• восстановить скрытые строки через FLOSS;
• рекурсивно проверить архив;
• рассчитать понятную оценку риска;
• получить русскоязычное заключение;
• удалить исходные данные после анализа.

При этом главный принцип остаётся неизменным:

Zer0Kernel AV помогает понять, что находится внутри файла, но окончательное решение всегда должен принимать человек.

Сервис:

Zer0Kernel AV — Static Threat Analyzer