PapelShip
Jetzt starten
Jetzt startenAnmelden
Darstellung

qPAnalyzer/KI-Bedrohungserkennung zur Laufzeit

Erkennen Sie die Reverse-Engineering-Tools, die eine Blacklist nicht sieht.

qPAnalyzer läuft auf dem Rechner des Endnutzers neben Ihrer Anwendung. Es erkennt Debugger und Cracking-Tools an Aussehen und Verhalten, auch umbenannte und eigens gebaute, und bewertet jeden Scan mit einem Score bis 100.

Mit PapelShip+ startenRundgang ansehen
app.papelship.com · qPAnalyzer

Läuft auf

Dem Rechner des Endnutzers

Erkennt

Umbenannte und eigene Tools

Voraussetzung

qPapel Auth v5.5 oder neuer

Enthalten in

PapelShip+

Rundgang

qPAnalyzer in Aktion. Scans, markierte Fenster und die Ergebnisse im Dashboard, in einer kurzen Tour.

  • Auf dem Client erkennen

    Die Analyse läuft direkt neben Ihrer Anwendung, dort, wo Reverse Engineering tatsächlich stattfindet.

  • Auf dem Server entscheiden

    Lizenz- und Sperrentscheidungen bleiben bei PapelShip und gelten ab der nächsten Prüfung.

  • An einem Ort prüfen

    Scans, Belege und markierte Binaries liegen im selben Dashboard wie Ihre Schlüssel und Verkäufe.

Mehr als Blacklists

Ein neuer Name genügt, und die Blacklist greift ins Leere.

Listen gleichen Prozessnamen, Fenstertitel und Klassennamen ab. Das stoppt öffentliche Tools praktisch ohne Aufwand, übersieht aber alles, was umbenannt, privat oder neu ist. qPAnalyzer prüft, was ein Tool ist, statt wie es heißt.

Warum statische Blacklists nicht ausreichen

Prozess auf DESKTOP-23X9F

PID 4812
Image-Namex64dbg.exenotes_helper.exeumbenannt, sonst unverändert

Prozess-Blacklist

Gleicht Namen, Titel und Klassen ab

Treffer · blockiert

qPAnalyzer

Prüft, was das Tool ist

Debugger erkannt · 92 / 100
UI-LayoutFenster-HandlesSpeichersignaturenFenster-Screenshot

  • Umbenannte Tools

    Eine Liste, die nur auf Namen basiert, kennt auch nur Namen. Ändert sich der Name, ist der Treffer weg.

  • Private Tools

    Hilfsprogramme, die für ein einzelnes Ziel geschrieben wurden, stehen auf keiner öffentlichen Liste.

  • Neue Tools

    Neue Releases und Forks erscheinen schneller, als sich jede Liste pflegen lässt.

So funktioniert es

Erkannt an dem, was es ist, nicht an seinem Namen. Umgebungsprüfungen, Fensteranalyse und eine Screenshot-Prüfung ergeben zusammen einen Score bis 100.

Wie qPAnalyzer umbenannte und eigene Tools erkennt

Scan auf DESKTOP-23X9F

DemoApp · periodische Prüfung

Scan läuft
  1. 01UmgebungsprüfungenDebug-Flags, Hardware-Breakpoints, Hypervisor, Kernel-Debugger1 Signal
  2. 02Prozesse und Fenster214 Prozesse, 19 Fenster1 Fenster fällt auf
  3. 03UI-LayoutmusterAbgleich mit bekannten Analyse-ToolsEntspricht einem Debugger
  4. 04Fenster-ScreenshotAufgenommen und geprüftAnalyse-Tool

Risiko-Score

– / 100

04070100

Belege

Wird dem Bericht beigefügt, wenn das Fenster aufgenommen wird

Fenster

notes_helper.exe

Desktop

Vollaufnahme

Entschieden bei
KI-Sichtprüfung
Gefundene Tools
1
Danach
Mit Beleg protokolliert, danach greift Ihre Regel für diesen Score.
  1. 01

    Umgebungsprüfungen

    Anti-Debug- und Anti-Tamper-Prüfungen, etwa auf Hypervisor-Signale, Hardware-Breakpoints, Debug-Flags von Prozessen und einen Kernel-Debugger.

  2. 02

    Prozesse und Fenster

    Muster im UI-Layout, Fenster-Handles und Speichersignaturen: So wird ein Tool erkannt, egal wie seine Datei heißt.

  3. 03

    Screenshot-Analyse

    Ein verdächtiges Fenster wird aufgenommen und seine Oberfläche geprüft. Speicheransichten, Disassembly-Bereiche und Registerlisten verraten ein Tool.

  4. 04

    Risiko-Score

    Die Signale ergeben zusammen einen kalibrierten Score bis 100, sodass eine vage Ähnlichkeit anders behandelt wird als ein eindeutiger Treffer.

  5. 05

    Ihre Regeln

    Der Fund wird samt Beleg protokolliert, dann greift die Aktion, die Sie festgelegt haben, von der Warnung bis zur Sperre.

Scan-Berichte

Jedes Urteil kommt mit seinem Beleg.

Jeder Scan wird zu einem Bericht: Ergebnis, Risiko-Score bis 100, die entscheidende Stufe, die gefundenen Tools und eine schriftliche Bewertung, dazu die aufgenommenen Screenshots.

  • Gehen Sie jeden Scan einer Sitzung durch, vom ersten Check bis zum jüngsten Rescan.
  • Sehen Sie, was sich seit dem vorherigen Scan geändert hat, bis hin zur Zahl der Prozesse und Fenster.
  • Öffnen Sie die ausführliche Analyse oder lesen Sie den Bericht in der Sprache Ihrer Wahl.
  • Bewahren Sie die Belege auf, damit sich jede Sperre nachprüfen und begründen lässt.

Scan-Bericht · #1040

DESKTOP-23X9F

jdoe · DemoApp · Periodische Prüfung · 17. Oktober um 14:20:41 Uhr

Scan 7 von 9 in dieser SitzungBerichtssprache: Deutsch

Ergebnis

Sauber

Risiko-Score

0 / 100

Entschieden bei

KI-Sichtprüfung

3.904 ms

Gefundene Tools

0

Bewertung

Alle sichtbaren Fenster gehören zu gewöhnlichen Anwendungen: ein Webbrowser, ein Chat-Client, ein Musikplayer und der Datei-Explorer. Es wurden keine Reverse-Engineering-Tools und keine verdächtigen Aktivitäten gefunden.

Was sich geändert hat: Periodischer Routine-Scan (198 Prozesse, 14 Fenster)

Ausführliche Analyse

Belege

Desktop

Vollaufnahme

Schließen

Einrichtung

Einschalten in den Remote-Einstellungen. qPAnalyzer ist ein Schritt der Remote-Einstellungen von qPapel Auth, deshalb braucht eine Änderung nie einen neuen Build.

DemoApp

Remote-Einstellungen · Schritt 7 von 8

QP Analyzer

Prüft jede Sitzung per KI und reagiert auf Reverse-Engineering-Versuche.

Analyse

Was der Analyzer erfasst und wie oft er läuft.

KI-Bedrohungsanalyse

Wertet Live-Telemetrie der Sitzung aus und entscheidet über die Reaktion.

Fenster-ScreenshotsEmpfohlen

Nimmt verdächtige Tool-Fenster zur visuellen Prüfung auf.

Desktop-Screenshot

Ergänzt die Analyse bei einer Bedrohung um eine Aufnahme des gesamten Desktops.

Rescans im Hintergrund

Wiederholt die Analyse, solange die Sitzung offen bleibt.

Rescan alle

60Sek.
AbbrechenWeiter

Sitzung · DESKTOP-23X9F

DemoApp · Rescan alle 60 Sek.

Sitzung offen
0:001:002:003:004:005:00
  • 0:00PeriodischSauber

Rescans im Hintergrund wiederholen die Analyse, solange die Sitzung offen bleibt. So fällt auch ein Tool auf, das erst mitten in der Sitzung gestartet wird.

Reaktion

Bewerten, was gefunden wird. Entscheiden, was passiert.

Jedes Signal fließt in einen Score bis 100 ein. Die Konsole markiert Scores von 40 bis 69 und blockiert ab 70; Ihre Regeln legen fest, ob die Sitzung eine Warnung erhält, eingeschränkt, geschlossen oder gesperrt wird.

  • Schwellenwerte für Warnen, Einschränken, Schließen und Sperren in der Risiko-Engine, pro Produkt festgelegt.
  • Der Modus „Verzögerte Aktion“ löst die Strafe erst nach einer zufälligen Wartezeit aus, damit sich die Reaktion nicht der Prüfung zuordnen lässt.
  • Sperren werden auf den Servern von PapelShip entschieden und gelten ab der nächsten Prüfung, ganz ohne neuen Build.
  • Auto Rules führen die gewählte Aktion immer dann aus, wenn eine Bedingung erfüllt ist.

Beispielrichtlinie · DemoApp

Risiko-Engine

Scan Nr. 7

0Sauber

Scan Nr. 8

48Markiert

Scan Nr. 9

92Blockiert

04070100
  • Score 40 bis 69log_only
  • Score 70 oder höherclose_app
  • Wiederholte Blockierungen bei einem Schlüsselban
Verzögerte AktionInaktiv

Rechner

Ihre gesamte Flotte, ein Quadrat pro Rechner. Die Quadrate leuchten auf, sobald ein Scan eingeht, und jeder Rechner behält seinen Status, sein Risiko und seinen Scan-Verlauf.

app.papelship.com · qPAnalyzer · Rechner

  • Nach Status filtern

    Alle, jetzt aktiv, markiert, gesperrt oder vertraut, mit der Anzahl an jedem Filter.

  • Jeden Rechner finden

    Suchen Sie nach Rechnername, Benutzer, HWID oder IP und sortieren Sie nach letzter Aktivität, Risiko oder Name.

  • Die Zeile lesen

    Produkt, Status, letzter Scan, Risiko der letzten 24 Stunden, Scan-Anzahl und der Zeitpunkt, zu dem der Rechner Ihre App geöffnet hat.

Threat Vault

Jedes markierte Binary, nach Familien sortiert. Markiert ein Scan ein Tool, lädt der Client es mit Hashes, Imports, Build-Pfad und KI-Urteil in Ihren Vault hoch.

app.papelship.com · qPAnalyzer · Threat Vault

Signatur-Wissensbasis

Prozess- und Fenstersignaturen, die die Engine bei PapelShip gelernt hat, jeweils als Bedrohung oder unbedenklich markiert. Verifizierte Bedrohungen werden in Regelstufe 05 sofort blockiert.

  • Samples nach Kategorie, Familie und Variante gruppiert.
  • Nach Risiko filtern, von allen Samples bis nur kritisch.
  • „Keine Bedrohung“ entfernt einen Fehlalarm mit einem Klick.

Signatur-Wissensbasis

Prozess- und Fenstersignaturen, die die Engine bei PapelShip gelernt hat. Verifizierte Bedrohungen werden in Regelstufe 05 sofort blockiert.

Prozess, Fenster oder Tool
SignaturUrteil
Disassembly-, Register- und SpeicherbereicheBedrohung
notes_helper.exeBedrohung
updater_x64.exeBedrohung
obs64.exeUnbedenklich
Wertesuche und SpeicherlisteBedrohung

Fehlalarme

Streng bei Analyse-Tools, entspannt bei allem anderen. Stimmen Sie qPAnalyzer auf die Zielgruppe jedes Produkts ab, damit zahlende Kunden nie als Verdächtige behandelt werden.

Whitelist pro Produkt

Stufen Sie Tools, die Ihre Kunden legitim nutzen, für ein Produkt als sicher ein. Eigene Anweisungen informieren den Analyzer über Ihre Zielgruppe.

Keine Bedrohung

Ein Fund, der sich als harmlos erweist, wird mit einem Klick aus dem Threat Vault entfernt.

Vertrauenswürdige Geräte

Rechner, für die Sie bürgen, etwa Ihre eigenen Test-PCs, bleiben in der gesamten Konsole als vertrauenswürdig markiert.

Erst prüfen, dann verschärfen

Betreiben Sie qPAnalyzer in den ersten Tagen mit Regeln, die nur protokollieren. Sehen Sie den Threat Vault durch, setzen Sie auf die Whitelist, was Ihre Kunden legitim nutzen, und schalten Sie erst dann automatische Schließungen und Sperren ein.

Teil von qPapel Auth

Eine Schicht im Schutzkonzept.

Blacklists stoppen bekannte Tools weiterhin praktisch ohne Aufwand, und qPapel Auth entscheidet weiterhin, wer Ihre Software auf welchem Gerät ausführen darf. qPAnalyzer achtet auf das, was beide nicht sehen.

qPapel Auth entdecken
  1. 01Statische BlacklistsBekannte Prozessnamen, Fenstertitel und Klassenx64dbg.exeNach Name blockiert
  2. 02VerhaltensprüfungenDebugger, virtuelle Maschinen und veränderter CodeGepatchter BuildIntegritätsprüfung fehlgeschlagen
  3. 03qPAnalyzerUmbenannte, private und neue Tools, bewertetnotes_helper.exeDebugger-UI · 92 / 100
  4. 04Serverseitige EntscheidungenSperren gelten ab der nächsten Prüfung überallPAPEL-N1XY-55JQSchlüssel und Gerät gesperrt

Einführung

In fünf Schritten live. Beginnen Sie mit dem Beobachten und lassen Sie dann den Score bestimmen, was passiert.

  1. 01

    Bibliothek aktualisieren

    Verwenden Sie qPapel Auth v5.5 oder neuer: die aktuellen Lib- und Include-Dateien aus dem Beispielprojekt und qPapelAuth64.dll aus den Downloads.

  2. 02

    Aktivieren

    Schalten Sie in den Remote-Einstellungen des Produkts den Schritt „QP Analyzer“ ein. Spätere Änderungen brauchen keinen neuen Build.

  3. 03

    Erst beobachten

    Protokollieren Sie Funde, ohne zu schließen oder zu sperren, und behalten Sie Rechner und Threat Vault einige Tage im Blick.

  4. 04

    Whitelist abstimmen

    Tragen Sie die legitimen Tools Ihrer Zielgruppe ein, mit eigenen Anweisungen, die sie beschreiben.

  5. 05

    Aktionen aktivieren

    Legen Sie Ihre Schwellenwerte fest, schalten Sie verzögerte Aktionen ein und prüfen Sie markierte Rechner regelmäßig.

Preise

Enthalten in PapelShip+.

qPAnalyzer gehört zum Tarif PapelShip+. Scans werden zu ihren tatsächlichen Kosten von Ihrem KI-Guthaben abgebucht, und jeder Scan umfasst die Analyse von Fenster-Screenshots.

PapelShip+

14,99 €/ Monat

Hohe Limits und qPAnalyzer.

  • qPAnalyzer inklusive
  • 95.000 Schlüssel pro Produkt
  • 750 Mitarbeiterkonten und 250 Reseller
  • 0 % Gebühren für Krypto und Karten

KI-Guthaben Verlauf

14,87 $

Noch rund 29.742 Scans

Guthaben aufladen
  • Abrechnung zu den tatsächlichen Kosten jedes Scans
  • Fenster-Screenshot-Analyse in jedem Scan

Ratgeber

Tiefer einsteigen. Wie die Erkennung funktioniert und wo sie neben Blacklists und Serverprüfungen ihren Platz hat.

RatgeberHow qPAnalyzer detects renamed and custom reverse-engineering toolsHow qPAnalyzer's AI-assisted reverse-engineering tool detection flags renamed and custom tools, keeps false positives low and gives you evidence to act on.Ratgeber lesen
RatgeberAnti-reverse-engineering software: why static blacklists aren't enoughWhy process and window blacklists only catch known tools, and what behavioural checks and AI-assisted detection add to anti-reverse-engineering software.Ratgeber lesen
Hilfe-CenterqPAnalyzer und SchutzLaufzeiterkennung, Fehlalarme und geleakte Builds.Zum Hilfe-Center

Fragen und Antworten

Mehr zu Laufzeiterkennung und Fehlalarmen finden Sie im Hilfe-Center.

Zum Hilfe-Center

KI-gestützte Bedrohungserkennung zur Laufzeit von PapelShip. Sie läuft auf dem Rechner des Endnutzers neben Ihrer Anwendung und erkennt Debugger und Cracking-Tools, auch umbenannte und eigens gebaute, die eine Blacklist übersehen würde. Enthalten ist sie im Tarif PapelShip+.

Es verlässt sich nicht auf den Namen der ausführbaren Datei. Stattdessen prüft es Muster im UI-Layout, Fenster-Handles und Speichersignaturen und analysiert einen Screenshot des markierten Fensters. Mehr dazu lesen Sie unter Wie qPAnalyzer umbenannte und eigene Tools erkennt.

Es ist darauf abgestimmt, genau das zu vermeiden. Setzen Sie Tools pro Produkt mit eigenen Anweisungen für den Analyzer auf die Whitelist, markieren Sie jeden Fund im Threat Vault als Keine Bedrohung und führen Sie Rechner, für die Sie bürgen, als vertrauenswürdige Geräte.

Nur, wenn Sie es festlegen. Alle Signale fließen in einen Score ein, und Sie bestimmen, was bei welchem Schwellenwert passiert, von der Warnung bis zur Sperre. Im Modus „Verzögerte Aktion“ folgt die Strafe nach einer zufälligen Wartezeit.

Ja. Jeder Scan-Bericht zeigt das Ergebnis, den Risiko-Score, die entscheidende Stufe, die gefundenen Tools und eine schriftliche Bewertung, dazu die aufgenommenen Screenshots als Beleg. Markierte Binaries bleiben im Threat Vault gespeichert.

Sicherheitssignale zur Umgebung, in der Ihre Anwendung läuft, Screenshots markierter Fenster, auf Wunsch eine Aufnahme des gesamten Desktops (in den Remote-Einstellungen einschaltbar) und die Binaries, die ein Scan markiert. Alles sehen Sie in Ihrem Dashboard.

qPapel Auth v5.5 oder neuer mit den aktuellen Lib- und Include-Dateien sowie qPapelAuth64.dll. Aktivieren Sie dann den Schritt „QP Analyzer“ in den Remote-Einstellungen; ändern können Sie ihn jederzeit, ohne einen Build auszuliefern.

Es ist im Tarif PapelShip+ für 14,99 € im Monat enthalten. Scans werden zu ihren tatsächlichen Kosten von Ihrem KI-Guthaben abgebucht, und jeder Scan umfasst die Analyse von Fenster-Screenshots. Den vollständigen Tarifvergleich finden Sie unter Preise.