PapelShip
Começar
ComeçarIniciar sessão
Aspeto

qPAnalyzer/Deteção de ameaças em tempo real com IA

Detete as ferramentas de engenharia inversa que uma lista de bloqueio não vê.

O qPAnalyzer corre junto da sua aplicação, na máquina do utilizador final. Reconhece depuradores e ferramentas de cracking pelo aspeto e pelo comportamento, incluindo as renomeadas e as personalizadas, e pontua cada análise sobre 100.

Obter o PapelShip+Ver a demonstração
app.papelship.com · qPAnalyzer

Corre em

A máquina do utilizador final

Deteta

Ferramentas renomeadas e personalizadas

Requer

qPapel Auth v5.5 ou superior

Incluído no

PapelShip+

Demonstração

Veja o qPAnalyzer em funcionamento. Análises, janelas assinaladas e resultados no painel, numa visita rápida.

  • Deteção no cliente

    A análise corre junto da sua aplicação, onde a engenharia inversa acontece de facto.

  • Decisão no servidor

    As decisões de licença e de banimento ficam na PapelShip e são aplicadas na verificação seguinte.

  • Revisão num só lugar

    As análises, as evidências e os binários assinalados ficam no mesmo painel das suas chaves e vendas.

Para além das listas de bloqueio

Basta um nome novo para passar por uma lista de bloqueio.

As listas comparam nomes de processos, títulos de janelas e nomes de classes. Isto trava as ferramentas públicas quase sem custos, mas não deteta o que foi renomeado, é privado ou é novo. O qPAnalyzer analisa o que a ferramenta é, em vez de como se chama.

Porque é que as listas de bloqueio estáticas não bastam

Processo em DESKTOP-23X9F

PID 4812
Nome da imagemx64dbg.exenotes_helper.exerenomeado, nada mais foi alterado

Lista de bloqueio de processos

Compara nomes, títulos e classes

Correspondência · bloqueado

qPAnalyzer

Analisa o que a ferramenta é

Depurador reconhecido · 92 / 100
Layout da interfaceIdentificadores de janelaAssinaturas de memóriaCaptura de janela

  • Ferramentas renomeadas

    Uma lista baseada apenas em nomes só conhece nomes. Mude o nome e a correspondência desaparece.

  • Ferramentas privadas

    Utilitários escritos para um único alvo nunca aparecem em nenhuma lista pública.

  • Ferramentas novas

    Novas versões e forks surgem mais depressa do que qualquer lista consegue ser mantida.

Como funciona

Reconhecido pelo que é, não pelo nome que tem. As verificações do ambiente, a análise de janelas e a revisão de capturas combinam-se numa única pontuação sobre 100.

Como o qPAnalyzer deteta ferramentas renomeadas e personalizadas

Análise · DESKTOP-23X9F

DemoApp · verificação periódica

A analisar
  1. 01Verificações do ambienteFlags de depuração, pontos de interrupção de hardware, hypervisor, depurador do kernel1 sinal
  2. 02Processos e janelas214 processos, 19 janelas1 janela destacada
  3. 03Padrão de layout da interfaceComparado com ferramentas de análise conhecidasCorresponde a um depurador
  4. 04Captura de janelaCapturada e analisadaFerramenta de análise

Pontuação de risco

– / 100

04070100

Evidências

Anexada ao relatório quando a janela é capturada

Janela

notes_helper.exe

Ambiente de trabalho

Captura completa

Decidido às
Verificação visual por IA
Ferramentas encontradas
1
Depois
Registada com as respetivas evidências, e aplica-se a sua regra para esta pontuação.
  1. 01

    Verificações do ambiente

    Verificações anti-depuração e anti-adulteração, como sinais de hypervisor, pontos de interrupção de hardware, flags de depuração dos processos e presença de um depurador do kernel.

  2. 02

    Processos e janelas

    Padrões de layout da interface, identificadores de janela e assinaturas de memória, para que uma ferramenta seja reconhecida seja qual for o nome do seu ficheiro.

  3. 03

    Análise de capturas

    Uma janela suspeita é capturada e a sua interface é analisada. As vistas de memória, os painéis de desmontagem e as listas de registos denunciam a ferramenta.

  4. 04

    Pontuação de risco

    Os sinais combinam-se numa pontuação calibrada sobre 100, pelo que uma semelhança ténue é tratada de forma diferente de uma correspondência clara.

  5. 05

    As suas regras

    A deteção é registada com as respetivas evidências e aplica-se depois a ação que definiu, desde um aviso até um banimento.

Relatórios de análise

Cada veredicto vem com as respetivas evidências.

Cada análise dá origem a um relatório: o resultado, uma pontuação de risco sobre 100, a etapa que a decidiu, as ferramentas encontradas e uma avaliação escrita, com as capturas de ecrã anexadas.

  • Percorra todas as análises de uma sessão, desde a primeira verificação até à última repetição.
  • Veja o que mudou desde a análise anterior, até ao número de processos e janelas.
  • Abra a análise detalhada ou leia o relatório no idioma que escolher.
  • Guarde as evidências, para que cada banimento possa ser revisto e explicado.

Relatório de análise · #1040

DESKTOP-23X9F

jdoe · DemoApp · Verificação periódica · 17 de outubro às 2:20:41 da tarde

Análise 7 de 9 nesta sessãoIdioma do relatório: Português

Resultado

Limpa

Pontuação de risco

0 / 100

Decidido às

Verificação visual por IA

3.904 ms

Ferramentas encontradas

0

Avaliação

Todas as janelas visíveis são aplicações comuns: um navegador, um cliente de chat, um leitor de música e o Explorador de Ficheiros. Não foram encontradas ferramentas de engenharia inversa nem atividade suspeita.

O que mudou: Análise periódica de rotina (198 processos, 14 janelas)

Análise detalhada

Evidências

Ambiente de trabalho

Captura completa

Fechar

Configuração

Ative-o nas Definições remotas. O qPAnalyzer é uma etapa das Definições remotas do qPapel Auth, por isso alterá-lo nunca exige uma nova build.

DemoApp

Definições remotas · Passo 7 de 8

QP Analyzer

Inspeciona cada sessão com IA e responde a tentativas de engenharia inversa.

Análise

O que o analisador recolhe e com que frequência é executado.

Análise de ameaças com IA

Analisa a telemetria da sessão em tempo real e decide como responder.

Capturas de janelasRecomendado

Captura janelas de ferramentas suspeitas para inspeção visual.

Captura do ambiente de trabalho

Acrescenta à análise uma captura completa do ambiente de trabalho quando é encontrada uma ameaça.

Análises em segundo plano

Repete a análise enquanto a sessão estiver aberta.

Repetir análise a cada

60s
CancelarSeguinte

Sessão · DESKTOP-23X9F

DemoApp · nova análise a cada 60 s

Sessão aberta
0:001:002:003:004:005:00
  • 0:00PeriódicaLimpa

As análises em segundo plano repetem a análise enquanto a sessão estiver aberta, pelo que uma ferramenta aberta a meio de uma sessão continua a ser detetada.

Resposta

Pontue o que encontra. Decida o que acontece.

Cada sinal alimenta uma única pontuação sobre 100. A consola assinala pontuações de 40 a 69 e bloqueia as de 70 ou mais; as suas regras decidem se a sessão recebe um aviso, é restringida, encerrada ou banida.

  • Limiares de aviso, restrição, encerramento e banimento no motor de risco, definidos por produto.
  • O modo de ação com atraso aplica a penalização após um atraso aleatório, para que a resposta não aponte para a verificação.
  • Os banimentos são decididos nos servidores da PapelShip e aplicam-se na verificação seguinte, sem necessidade de enviar uma build.
  • O Auto Rules executa a ação escolhida sempre que uma condição se verifica.

Exemplo de política · DemoApp

motor de risco

Análise 7

0Limpa

Análise 8

48Assinalada

Análise 9

92Bloqueada

04070100
  • Pontuação de 40 a 69log_only
  • Pontuação de 70 ou maisclose_app
  • Bloqueios repetidos numa chaveban
Ação com atrasoInativa

Máquinas

Todo o seu parque, um quadrado por máquina. Os quadrados acendem no momento em que uma análise é concluída, e cada máquina mantém o seu estado, risco e histórico de análises.

app.papelship.com · qPAnalyzer · Máquinas

  • Filtrar por estado

    Todas, ativas agora, assinaladas, banidas ou de confiança, com uma contagem em cada filtro.

  • Encontrar qualquer máquina

    Pesquise por nome da máquina, utilizador, HWID ou IP, e ordene por atividade recente, risco ou nome.

  • Ler a linha

    Produto, estado, última análise, risco das últimas 24 horas, número de análises e quando a máquina abriu a sua aplicação pela primeira vez.

Cofre de ameaças

Cada binário assinalado, organizado por famílias. Quando uma análise assinala uma ferramenta, o cliente carrega-a para o seu cofre com os respetivos hashes, importações, caminho da build e o veredicto da IA.

app.papelship.com · qPAnalyzer · Cofre de ameaças

Base de conhecimento de assinaturas

Assinaturas de processos e janelas que o motor aprendeu em toda a PapelShip, marcadas cada uma como ameaça ou limpa. As ameaças verificadas são bloqueadas de imediato na etapa 05 das regras.

  • Amostras agrupadas por categoria, família e variante.
  • Filtre por risco, de todas as amostras apenas às críticas.
  • Não é uma ameaça remove um falso positivo com um clique.

Base de conhecimento de assinaturas

Assinaturas de processos e janelas que o motor aprendeu em toda a PapelShip. As ameaças verificadas são bloqueadas de imediato na etapa 05 das regras.

Processo, janela ou ferramenta
AssinaturaVeredicto
Painéis de desmontagem, registos e memóriaAmeaça
notes_helper.exeAmeaça
updater_x64.exeAmeaça
obs64.exeLimpa
Pesquisa de valores e lista de memóriaAmeaça

Falsos positivos

Rigoroso com as ferramentas de análise, tolerante com tudo o resto. Ajuste o qPAnalyzer ao público de cada produto, para que os clientes que pagam nunca sejam tratados como suspeitos.

Lista de permissões por produto

Marque as ferramentas que os seus clientes usam legitimamente como seguras para um produto, com instruções personalizadas que informam o analisador sobre o seu público.

Não é uma ameaça

Uma deteção que se revele inofensiva é removida do Cofre de ameaças com um único clique.

Dispositivos de confiança

As máquinas em que confia, como os seus próprios PCs de teste, continuam marcadas como de confiança em toda a consola.

Reveja antes de apertar as regras

Execute o qPAnalyzer apenas com regras de registo nos primeiros dias. Reveja o Cofre de ameaças, coloque na lista de permissões o que os seus clientes usam legitimamente e só então ative os encerramentos e banimentos automáticos.

Parte do qPapel Auth

Uma camada de um conjunto de proteções.

As listas de bloqueio continuam a travar ferramentas bem conhecidas quase sem custos, e o qPapel Auth continua a decidir quem pode executar o seu software e em que dispositivo. O qPAnalyzer vigia o que nenhuma delas consegue ver.

Explorar o qPapel Auth
  1. 01Listas de bloqueio estáticasNomes de processos, títulos de janelas e classes conhecidosx64dbg.exeBloqueado pelo nome
  2. 02Verificações comportamentaisDepuradores, máquinas virtuais e código modificadoBuild modificadaVerificação de integridade falhou
  3. 03qPAnalyzerFerramentas renomeadas, privadas e novas, com pontuaçãonotes_helper.exeInterface de depurador · 92 / 100
  4. 04Decisões no servidorOs banimentos são aplicados em todo o lado na verificação seguintePAPEL-N1XY-55JQChave e dispositivo banidos

Implementação

Em produção em cinco passos. Comece por observar e depois deixe que a pontuação determine o que acontece.

  1. 01

    Atualizar a biblioteca

    Use o qPapel Auth v5.5 ou superior: os ficheiros Lib e Include mais recentes do projeto de exemplo e o qPapelAuth64.dll da secção de Downloads.

  2. 02

    Ativar

    Ative a etapa QP Analyzer nas Definições remotas do produto. Alterá-la mais tarde não exige uma nova build.

  3. 03

    Observar primeiro

    Registe as deteções sem encerrar nem banir, e acompanhe as Máquinas e o Cofre de ameaças durante alguns dias.

  4. 04

    Ajustar a lista de permissões

    Adicione as ferramentas legítimas que o seu público usa, com instruções personalizadas que as descrevam.

  5. 05

    Ativar as ações

    Defina os seus limiares, ative as ações com atraso e reveja regularmente as máquinas assinaladas.

Preços

Incluído no PapelShip+.

O qPAnalyzer vem com o plano PapelShip+. As análises são cobradas ao custo real a partir do seu saldo de IA, e cada análise inclui a análise de capturas de janelas.

PapelShip+

14,99 €/ mês

Limites elevados e qPAnalyzer.

  • qPAnalyzer incluído
  • 95 000 chaves por produto
  • 750 membros da equipa e 250 revendedores
  • 0 % de comissões em cripto e cartão

Saldo de IA Histórico

US$ 14,87

Cerca de 29 742 análises restantes

Adicionar saldo
  • Cobrado ao custo real de cada análise
  • Análise de capturas de janelas em cada análise

Guias

Aprofunde. Como funciona a deteção e onde encaixa ao lado das listas de bloqueio e das verificações no servidor.

GuiaHow qPAnalyzer detects renamed and custom reverse-engineering toolsHow qPAnalyzer's AI-assisted reverse-engineering tool detection flags renamed and custom tools, keeps false positives low and gives you evidence to act on.Ler o guia
GuiaAnti-reverse-engineering software: why static blacklists aren't enoughWhy process and window blacklists only catch known tools, and what behavioural checks and AI-assisted detection add to anti-reverse-engineering software.Ler o guia
Centro de ajudaqPAnalyzer e proteçãoDeteção em tempo de execução, falsos positivos e builds vazadas.Visitar o centro de ajuda

Perguntas e respostas

Mais sobre deteção em tempo de execução e falsos positivos no centro de ajuda.

Visitar o centro de ajuda

Deteção de ameaças em tempo de execução com IA, da PapelShip. Corre na máquina do utilizador final, junto da sua aplicação, e assinala depuradores e ferramentas de cracking, incluindo as renomeadas e personalizadas que uma lista de bloqueio não detetaria. Está incluído no PapelShip+.

Não depende do nome do executável. Analisa padrões de layout da interface, identificadores de janela e assinaturas de memória, e avalia uma captura da janela assinalada. Leia como o qPAnalyzer deteta ferramentas renomeadas e personalizadas.

Foi calibrado para evitar isso. Coloque ferramentas na lista de permissões de cada produto com instruções personalizadas para o analisador, marque qualquer deteção como Não é uma ameaça no Cofre de ameaças e mantenha as máquinas em que confia como dispositivos de confiança.

Só se o configurar para isso. Cada sinal alimenta uma única pontuação, e escolhe o que acontece em cada limiar, desde um aviso até um banimento. Com o modo de ação com atraso, a penalização segue-se após um atraso aleatório.

Sim. Cada relatório de análise mostra o resultado, a pontuação de risco, a etapa que decidiu, as ferramentas encontradas e uma avaliação escrita, com as capturas de ecrã como evidência. Os binários assinalados ficam guardados no Cofre de ameaças.

Sinais de segurança sobre o ambiente em que a sua aplicação corre, capturas de janelas assinaladas, uma captura do ambiente de trabalho se a ativar nas Definições remotas, e os binários que uma análise assinala. Tudo é apresentado no seu painel.

O qPapel Auth v5.5 ou superior, com a versão mais recente de Lib, Include e qPapelAuth64.dll. Depois, ative a etapa QP Analyzer nas Definições remotas; pode alterá-la em qualquer altura sem enviar uma build.

Está incluído no PapelShip+, por 14,99 € por mês. As análises são cobradas ao custo real a partir do seu saldo de IA, e cada análise inclui a análise de capturas de janelas. Consulte os preços para ver a comparação completa dos planos.