11630 звёзд · JavaScript · MIT · обновлён 03.10.2026
Описание: Detect It Easy — кросс-платформенный идентификатор файлов и статический анализатор для Windows, Linux и MacOS. Он отвечает на вопрос, каким пакером или компилятором собран образец, не запуская его. Берут его malware-аналитики, реверс-инженеры и форензики, чтобы быстро разложить по полкам тысячи сэмплов.
Что умеет
• Типы и форматы — определяет формат, архитектуру и компилятор по сигнатурам
• Пакеры и протекторы — узнаёт известные упаковщики и их характерные секции
• Эвристика PE — ищет аномалии старта, антианализ и полиморфные распаковщики
• .NET и MSIL — ловит обфускацию, изменённые точки входа, странные конструкторы CLR
• Подписи и метаданные — Authenticode, Rich-заголовок, отпечатки дамперов и реконструкторов
• DiE-JS модули — свои сигнатуры и алгоритмы с доступом к структурам файла
• Флаги митигаций — оценивает сочетания битов, а не отдельные биты
Установка
git clone https://github.com/horsicq/Detect-It-Easy
Команды
diec sample.exe # печатает тип, компилятор и упаковщик файла
diec -r samples/ # сканирует каталог и все подпапки
diec -d db/ sample.exe # берёт базу сигнатур из указанного каталога
diec -a sample.exe # прогоняет все типы сканирования, а не один
diec -j sample.exe # отдаёт отчёт в JSON для скриптов
diec -r build/ -j > die.json # пишет отчёт в файл для автоматических проверок
diec -h # выводит справку по флагам
Полезно знать
• Файл не запускается: DiE читает заголовки, секции, импорты, ресурсы и байткод
• DiE-JS — язык расширений, базы сигнатур лежат в каталоге db/ репозитория
• detectiteasy.com не связан с проектом, релизы берите только из репозитория
• Эвристический PE-движок от DosX помечает свои выводы отдельно от сигнатур
• Это не песочница и не эмулятор CPU: поведение образца не воспроизводится
#pentest #tool #detect_it_easy