Malice — Open-Source альтернатива VirusTotal для анализа угроз

Когда нужен свой собственный антивирусный сканер?

Знакома ситуация, когда нужно быстро проверить подозрительный файл, а отправлять его в VirusTotal не хочется из-за конфиденциальности данных? Или может быть вам нужно массово анализировать образцы вредоносного ПО в рамках исследовательского проекта? Именно эти проблемы решает Malice — открытая платформа для анализа угроз, которую можно развернуть в своей инфраструктуре.

Что такое Malice?

Malice позиционирует себя как "VirusTotal Wanna Be" с открытым исходным кодом. Проект написан на Go и использует Docker для работы антивирусных модулей. Основные преимущества:

• Локальное развертывание — все анализы остаются внутри вашей инфраструктуры
• Модульная архитектура — легко добавлять новые движки анализа
• Веб-интерфейс на основе Kibana для визуализации результатов
• Поддержка API для интеграции с другими системами

Как это работает на практике?

Установка проста даже для новичков:

$ brew install maliceio/tap/malice  # Для macOS

Или через Docker:

docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
                -v `pwd`:/malice/samples \
                malice/engine scan suspicious_file.exe

После первого запуска Malice загрузит все необходимые антивирусные движки (это может занять время). Результаты сканирования выводятся в виде удобной markdown-таблицы, которую можно сохранить или опубликовать.

Ключевые возможности

1. Мультидвижковый анализ — одновременная проверка файлов несколькими антивирусными решениями
2. Мониторинг папок — автоматическое сканирование новых файлов в указанных директориях
3. Поиск по хешам — проверка известных сигнатур без повторного анализа файла
4. Визуализация данных — интеграция с Elasticsearch и Kibana для анализа статистики

Технические детали

• Ядро написано на Go, что обеспечивает высокую производительность
• Использует Docker-контейнеры для изоляции антивирусных движков
• Поддерживает плагины для расширения функциональности
• Требует около 4GB RAM и 16GB дискового пространства

Кому будет полезен Malice?

• Исследователям вредоносного ПО — для анализа образцов без публикации в открытых сервисах
• Командам безопасности — для внутреннего мониторинга угроз
• Разработчикам — как инструмент для автоматического тестирования на вредоносный код
• Организациям с требованиями к конфиденциальности данных

Недостатки и ограничения

1. Требует значительных ресурсов для работы Elasticsearch
2. Некоторые антивирусные движки требуют лицензий
3. Архивный статус проекта (последнее обновление — 2023 год)

Вывод: стоит ли пробовать?

Malice — интересное решение для тех, кому нужен контроль над процессом анализа угроз. Хотя проект сейчас не активно развивается, его можно использовать как основу для собственной системы анализа вредоносного ПО. Особенно рекомендую обратить внимание исследователям кибербезопасности и командам, работающим с конфиденциальными данными.

Для быстрого знакомства попробуйте демо-версию (логин: malice, пароль: ecilam).