VirusTotal 新增端点：为恶意软件分析师的代码查询提供功能描述

核心要点

1. “analyze-binary” 端点会返回由 AI 生成的代码片段摘要及详细功能描述。
2. 该端点可从分析师认可的历史数据中学习，逐步优化分析结果。
3. 集成 VT-IDA 插件后，可在 IDA Pro（一款专业逆向工程工具）中创建持久化的 CodeInsight 笔记本（CodeInsight Notebook）。

新增端点概述

payload = {
  "code": code_base64,  // Base64编码的代码块
  "code_type": "disassembled" | "decompiled",  // 代码类型：反汇编代码或反编译代码
  "history": [  // 历史分析记录（可选）
    {
      "request": code_base64,  // 历史请求中的Base64编码代码
      "response": {
        "summary": text,  // 历史响应中的代码摘要
        "description": text  // 历史响应中的代码详细描述
      }
    }
  ]
}

• 功能概述：简要说明代码功能，例如 “网络输入输出程序” 或 “反调试逻辑”；
• 详细解析：对代码的控制流、API 调用、字符串引用及潜在混淆技术进行全面拆解。

IDA Pro 操作界面（IDA View-A）

VirusTotal Code Insight 笔记本（Code Insight Notebook）

摘要（Summary）

描述（Description）

1. 函数 “sub_40B118” 作为核心反分析程序，首先将寄存器 “ebx” 的值存入栈中，[原文此处省略初始化步骤描述]，随后执行一系列检测操作，每项操作通常由一个全局标志控制。对于每项检测，函数会先将全局内存地址（如 “ds:off_40D1D4”“ds:off_40D1B0”）处的字节值与 1 进行比较。若该字节值为 [原文此处省略比较结果对应的逻辑，推测为 “1”]，则执行对应检测；
2. [原文此处省略步骤 2-5 的具体描述]；
3. 调用函数 “sub_4052C0”（地址：0x40b123）检测沙箱（Sandbox），若检测到沙箱，则终止进程（地址范围：0x40b128-0x40b12e）；
4. 调用函数 “sub_405168”（地址：0x40b1d）检测 Visual C++[调试环境，推测]，若检测到，则 [执行终止逻辑，原文此处省略]（地址范围：0x40b42-0x40b48）；
5. 调用函数 “sub_4051CC”（地址：0x40b171）检测 VirtualBox（虚拟机软件），若检测到，则终止进程（地址范围：0x40b176-0x40b17c）；
6. 调用函数 “sub_405310”（地址：0x40b18b）检测 “dbghelp.dll”（调试辅助动态链接库，常用于调试器），若检测到，则终止进程；
7. 调用函数 “sub_4054A4”（地址：0x40b1a5）通过检查 “Productid”（产品标识）检测 Anubis Sandbox（一款沙箱分析工具），若检测到，则终止进程（地址范围：0x40b1aa-0x40b1b0）；
8. 调用函数 “sub_4053EC”（地址：0x40b1bf）通过检查 “Productid” 检测 CWSandbox（一款沙箱分析工具），若检测到，则终止进程；
9. [原文此处省略步骤 9-10 的具体描述]；
10. 调用函数 “sub_405334”（地址：0x40b1d9）通过检查 “Productid” 检测 Joe Sandbox（一款沙箱分析工具），若检测到，则终止进程；
11. 调用函数 “sub_40555C”（地址：0x40b1f3）通过检查用户名检测沙箱 / 虚拟机，若检测到，则终止进程。

分析操作选项

插件新版本特性

与 IDA Pro 的集成

• 分析师可认可或修改分析摘要与描述，并补充修正意见或额外上下文信息；
• 经认可的分析结果会存入笔记本，且该笔记本可跨会话持久化保存，确保机构知识得以留存；
• 每次调用插件时，都会向端点发送完整的笔记本历史记录，使端点能逐步生成更丰富、更精准的分析结果。