PapelShip
立即开始
立即开始登录
外观

qPAnalyzer/AI 运行时威胁检测

识别黑名单发现不了的逆向工程工具

qPAnalyzer 与您的应用一同运行在最终用户的设备上。它通过工具的外观与行为识别调试器和破解工具，包括经过重命名和自定义的工具，并为每次扫描给出 100 分制的评分。

获取 PapelShip+观看演示
app.papelship.com · qPAnalyzer

运行于

最终用户的设备

检测

重命名与自定义工具

要求

qPapel Auth v5.5 或更高版本

包含于

PapelShip+

演示

亲眼看看 qPAnalyzer 的运行效果 在一段简短的导览中，了解扫描、被标记的窗口以及控制台中的结果

  • 在客户端检测

    分析与您的应用一同运行，正是逆向工程实际发生的地方。

  • 在服务器端判定

    许可证与封禁决定保留在 PapelShip 上，并在下一次检查时生效。

  • 在一处审核

    扫描记录、证据和被标记的二进制文件，与您的密钥和销售数据位于同一控制台中。

超越黑名单

只需换一个新名字，就能绕过黑名单

列表会匹配进程名、窗口标题和类名。这能以几乎零成本拦截公开工具，却会漏掉任何经过重命名、私有或新出现的工具。qPAnalyzer 看的是工具是什么，而不是它叫什么。

为什么静态黑名单还不够

DESKTOP-23X9F 上的进程

PID 4812
映像名称x64dbg.exenotes_helper.exe已重命名，其他均未改变

进程黑名单

匹配名称、标题和类

匹配 · 已拦截

qPAnalyzer

识别工具的真实功能

已识别调试器 · 92 / 100
界面布局窗口句柄内存特征窗口截图

  • 重命名的工具

    仅按名称建立的列表只能识别名称。一旦改名，匹配便会失效。

  • 私有工具

    为单一目标编写的实用程序，永远不会出现在任何公开列表中。

  • 新工具

    新版本与分支的出现速度，快于任何列表的维护速度。

工作原理

通过工具是什么来识别，而非它叫什么 环境检查、窗口分析和截图审阅，共同汇成一个 100 分制的评分

qPAnalyzer 如何检测重命名和自定义工具

扫描 · DESKTOP-23X9F

DemoApp · 定期检查

扫描中
  1. 01环境检查调试标志、硬件断点、虚拟机监控程序、内核调试器1 项信号
  2. 02进程与窗口214 个进程，19 个窗口1 个窗口异常
  3. 03界面布局模式与已知分析工具对比与调试器相符
  4. 04窗口截图已捕获并审阅分析工具

风险评分

– / 100

04070100

证据

窗口被捕获时附于报告中

窗口

notes_helper.exe

桌面

完整截图

判定时间
AI 视觉检测
发现的工具
1
随后
连同证据一并记录，并应用您为该分数设定的规则。
  1. 01

    环境检查

    反调试和防篡改检查，例如虚拟机监控程序信号、硬件断点、进程调试标志以及内核调试器是否存在。

  2. 02

    进程与窗口

    界面布局模式、窗口句柄和内存特征，即使文件名被改，工具也能被识别。

  3. 03

    截图分析

    可疑窗口会被捕获，并审阅其界面。内存视图、反汇编窗格和寄存器列表会暴露工具的真实身份。

  4. 04

    风险评分

    各项信号综合为一个 100 分制的校准评分，因此模糊的相似与明确的匹配会被区别对待。

  5. 05

    您的规则

    结果连同证据一并记录，随后执行您设定的操作，从警告到封禁。

扫描报告

每一项判定都附有证据

每次扫描都会生成一份报告：结果、100 分制风险评分、作出判定的阶段、发现的工具以及书面评估，并附上捕获的截图。

  • 逐一查看会话中的每次扫描，从首次检查到最近一次重新扫描。
  • 查看与上一次扫描相比的变化，细化到进程和窗口的数量。
  • 打开详细分析，或以您选择的语言阅读报告。
  • 保留证据，使每一次封禁都可以被审核和解释。

扫描报告 · #1040

DESKTOP-23X9F

jdoe · DemoApp · 定期检查 · 10月17日 14:20:41

本次会话第 7 次扫描，共 9 次报告语言： 简体中文

结果

安全

风险评分

0 / 100

判定时间

AI 视觉检测

3,904 ms

发现的工具

0

判定

所有可见窗口都是普通应用：网页浏览器、聊天客户端、音乐播放器和文件资源管理器。未发现逆向工程工具或可疑活动。

变化：定期例行扫描（198 个进程，14 个窗口）

详细分析

证据

桌面

完整截图

关闭

设置

在远程配置中开启 qPAnalyzer 是 qPapel Auth 远程配置中的一个步骤，因此更改它无需重新构建

DemoApp

远程配置 · 第 7 步，共 8 步

QP Analyzer

使用 AI 检查每个会话，并应对逆向工程尝试。

分析

分析器收集的内容以及运行频率。

AI 威胁分析

审查实时会话遥测数据，并决定如何应对。

窗口截图推荐

捕获可疑工具窗口以供视觉检查。

桌面截图

发现威胁时，将完整桌面截图加入分析。

后台重新扫描

会话保持打开期间重复执行分析。

重新扫描间隔

60秒
取消下一步

会话 · DESKTOP-23X9F

DemoApp · 每 60 秒重新扫描

会话已开启
0:001:002:003:004:005:00
  • 0:00定期安全

后台重新扫描会在会话保持打开期间重复分析，因此会话中途打开的工具同样会被捕获。

响应

为发现的内容打分，再决定如何处理

所有信号汇入同一个 100 分制评分。控制台会标记 40 至 69 分的评分，并拦截 70 分及以上的评分；您的规则决定会话是收到警告、受到限制、被关闭还是被封禁。

  • 在风险引擎中设置警告、限制、关闭和封禁的阈值，并按产品分别设定。
  • 延迟操作模式会在随机延迟后触发处罚，使响应不会暴露检查的时间点。
  • 封禁由 PapelShip 的服务器决定，并在下一次检查时生效，无需发布新版本。
  • 自动规则会在满足条件时执行您选定的操作。

示例策略 · DemoApp

风险引擎

扫描 7

0安全

扫描 8

48已标记

扫描 9

92已拦截

04070100
  • 评分 40 至 69log_only
  • 评分 70 或以上close_app
  • 同一密钥反复被拦截ban
延迟操作空闲

设备

整个设备群，每台设备一个方块 扫描结果一出，方块即刻亮起，每台设备都保留其状态、风险和扫描历史

app.papelship.com · qPAnalyzer · 设备

  • 按状态筛选

    全部、当前活跃、已标记、已封禁或受信任，每个筛选项均显示数量。

  • 查找任何设备

    按设备名称、用户、HWID 或 IP 搜索，并可按最近活动、风险或名称排序。

  • 阅读每一行

    产品、状态、上次扫描、24 小时风险、扫描次数，以及该设备何时打开您的应用。

威胁库

每个被标记的二进制文件，都按家族归类 当扫描标记某个工具时，客户端会将其连同哈希、导入表、构建路径和 AI 判定一并上传至您的威胁库

app.papelship.com · qPAnalyzer · 威胁库

特征知识库

引擎在 PapelShip 各处学习到的进程与窗口特征，每项均标记为威胁或安全。已验证的威胁会在规则阶段 05 即刻被拦截。

  • 样本按类别、家族和变种分组。
  • 可按风险筛选，从全部样本到仅显示严重级别。
  • 并非威胁可一键移除误报。

特征知识库

引擎在 PapelShip 各处学习到的进程与窗口特征。已验证的威胁会在规则阶段 05 即刻被拦截。

进程、窗口或工具
特征判定
反汇编、寄存器和内存窗格威胁
notes_helper.exe威胁
updater_x64.exe威胁
obs64.exe安全
数值搜索与内存列表威胁

误报

对分析工具从严，对其他一切从宽 根据每个产品的受众调整 qPAnalyzer，确保付费客户永远不会被当作嫌疑对象

按产品设置白名单

为单个产品将您的客户正当使用的工具标记为安全，并附上自定义说明，告诉分析器您的受众情况。

并非威胁

经证实无害的结果，可在威胁库中一键移除。

受信任设备

您担保的机器，例如您自己的测试电脑，会在整个控制台中保持受信任标记。

收紧前先审核

在最初几天以仅记录的规则运行 qPAnalyzer。审核威胁库，将客户正当使用的工具加入白名单，然后才开启自动关闭和封禁。

qPapel Auth 的一部分

防护体系中的一层

黑名单仍能以几乎零成本拦截知名工具，qPapel Auth 则继续决定谁可以运行您的软件，以及在哪台设备上运行。qPAnalyzer 负责监控二者都无法看到的情况。

了解 qPapel Auth
  1. 01静态黑名单已知的进程名、窗口标题和类x64dbg.exe按名称拦截
  2. 02行为检查调试器、虚拟机和被修改的代码已打补丁的版本完整性检查失败
  3. 03qPAnalyzer重命名、私有和新工具，并予以评分notes_helper.exe调试器界面 · 92 / 100
  4. 04服务器端判定封禁在下一次检查时全局生效PAPEL-N1XY-55JQ密钥与设备已封禁

上线

五个步骤即可投入使用 先从观察开始，再让评分决定接下来发生什么

  1. 01

    更新库文件

    使用 qPapel Auth v5.5 或更高版本：从示例项目中获取最新的 Lib 和 Include 文件，并从下载区获取 qPapelAuth64.dll。

  2. 02

    启用

    在该产品的远程配置中开启 QP Analyzer 步骤。之后更改设置无需重新构建。

  3. 03

    先观察

    只记录结果而不关闭或封禁，并在数天内查看设备页面和威胁库。

  4. 04

    调整白名单

    添加受众正在使用的正当工具，并附上描述这些工具的自定义说明。

  5. 05

    开启操作

    设置阈值，启用延迟操作，并定期审核被标记的设备。

定价

包含于 PapelShip+

qPAnalyzer 随 PapelShip+ 套餐提供。扫描按实际成本从您的 AI 余额中扣费，且每次扫描都包含窗口截图分析。

PapelShip+

€14.99/ 月

高额度，并包含 qPAnalyzer。

  • 包含 qPAnalyzer
  • 每个产品 95,000 个密钥
  • 750 名员工与 250 名分销商
  • 加密货币与银行卡手续费为 0%

AI 余额 历史记录

US$14.87

约剩 29,742 次扫描

充值
  • 按每次扫描的实际成本计费
  • 每次扫描均包含窗口截图分析

指南

深入了解 检测的工作原理，以及它与黑名单和服务器检查如何配合

指南How qPAnalyzer detects renamed and custom reverse-engineering toolsHow qPAnalyzer's AI-assisted reverse-engineering tool detection flags renamed and custom tools, keeps false positives low and gives you evidence to act on.阅读指南
指南Anti-reverse-engineering software: why static blacklists aren't enoughWhy process and window blacklists only catch known tools, and what behavioural checks and AI-assisted detection add to anti-reverse-engineering software.阅读指南
帮助中心qPAnalyzer 与防护运行时检测、误报与泄露的构建版本。访问帮助中心

常见问题解答

关于运行时检测与误报的更多信息，请参阅帮助中心。

访问帮助中心

这是 PapelShip 提供的 AI 辅助运行时威胁检测。它运行在最终用户的设备上，与您的应用并存，并标记调试器和破解工具，包括黑名单可能漏掉的经过重命名和自定义的工具。它包含于 PapelShip+。

它不依赖可执行文件的名称。它会检查界面布局模式、窗口句柄和内存特征，并分析被标记窗口的截图。阅读qPAnalyzer 如何检测重命名和自定义工具。

我们已对其进行调校以避免这种情况。您可以为各产品设置白名单工具，并附上分析器的自定义说明；在威胁库中将任何结果标记为并非威胁；并将您担保的机器保留为受信任设备。

只有在您设定之后才会。所有信号汇入同一个评分，您可以决定在每个阈值上发生什么，从警告到封禁。使用延迟操作模式时，处罚会在随机延迟后执行。

可以。每份扫描报告都会显示结果、风险评分、作出判定的阶段、发现的工具以及书面评估，并附上捕获的截图作为证据。被标记的二进制文件会保存在威胁库中。

您的应用所运行环境的安全信号、被标记窗口的截图（如您在远程配置中开启，还包括桌面截图），以及扫描所标记的二进制文件。所有内容均显示在您的控制台中。

qPapel Auth v5.5 或更高版本，并包含最新的 Lib、Include 和 qPapelAuth64.dll。然后在远程配置中启用 QP Analyzer 步骤；您可以随时更改，无需发布新版本。

它包含于每月 €14.99 的 PapelShip+ 套餐中。扫描按实际成本从您的 AI 余额中扣费，且每次扫描都包含窗口截图分析。完整的套餐对比请参阅定价页。