PeMCP

Arkana——只需一句 AI 提示词，即可拥有完整的恶意软件分析实验室

“分析一下 asyncrat.exe，告诉我它会做什么。”

只需一句提示词，Arkana 就会打开二进制文件并进行初步分析（CRITICAL——VT 检测到 43/72）， 提取 C2 服务器（cveutb.sa.com），识别出通过 MessagePack 加密的 AES-256 通信， 映射出 12 项 MITRE ATT&CK 技术，检测针对 VMware/VirtualBox/ Sandboxie 的反虚拟机检查，找到持久化机制（注册表 Run 键），并恢复出操作员的 PDB 路径，由此揭示出一名说越南语的威胁行为者。 查看完整报告。

“逐步跟进解包桩，告诉我它解密了什么。”

Arkana 会启动交互式调试会话，在 VirtualAlloc 和 VirtualProtect 上设置断点，逐步执行解密循环， 对比前后状态，比较内存区域，并转储解包后的载荷——整个过程由自然语言驱动。

Arkana 是一个 Model Context Protocol (MCP) 服务，为 Claude Code（或任何 MCP 客户端）提供 308 个分析工具——反编译、符号执行、交互式单步调试、数据流分析、YARA/capa/FLOSS 签名、Binary Refinery 数据转换、Qiling/Speakeasy 仿真、.NET 去混淆、函数相似度匹配，以及实时 Web 仪表板——让你只需描述想了解的内容，就能调查 PE、ELF、Mach-O、.NET、Go、Rust 和 shellcode 样本。无需编写 Ghidra 脚本，无需设置 CLI 参数，也无需在十几个工具之间来回切换。只需获取结果。

---

为什么选择 Arkana

问题： 恶意软件分析需要在 Ghidra、IDA、CyberChef、YARA 和其他十几种工具之间来回切换，每种工具都有自己的界面、脚本语言和学习曲线。调查单个样本可能需要在 5–10 种工具之间切换，并手动关联彼此割裂的工作流中的发现。

Arkana 通过在单一 AI 驱动的界面后集成 308 种专业分析工具解决了这个问题，相当于将整个恶意软件实验室装进一个 MCP 服务。用自然语言描述你想了解的内容，AI 就会自动协调合适的工具。

差异之处：

• 覆盖广泛——308 种工具涵盖 PE/ELF/Mach-O 解析、由 angr 驱动的反编译与符号执行、Binary Refinery 的 200 多种可组合数据转换、YARA/capa/FLOSS/PEiD 特征引擎、Qiling/Speakeasy 仿真、.NET/Go/Rust 专项分析、.NET 去混淆与 C# 反编译、Frida 脚本生成、漏洞模式检测、跨二进制文件函数相似性搜索，以及 VirusTotal 集成。
• 基于结果进行 AI 推理——与只生成输出的工具不同，Arkana 会将结果反馈给能够进行推理的 AI。当它反编译某个函数，并发现 VirtualAlloc 后接 memcpy 和间接调用时，就会识别出这是 Shellcode 注入模式，将函数重命名为 inject_shellcode，并建议调查源缓冲区。
• 零配置自动补充分析——打开文件后，Arkana 会立即在后台开始分类、风险评分、MITRE ATT&CK 映射、IOC 提取、库识别和反编译扫描。你提出第一个问题时，答案就已经缓存好了。
• 交互式调试——逐条指令跟踪二进制程序，使用断点、监视点、内存检查、执行快照、API 调用跟踪、I/O 捕获和自定义 API 桩。通过创建状态快照、修改寄存器或内存并比较结果，探索不同的执行路径。
• 会话连续性——笔记、函数重命名、自定义类型定义和工具历史会在上下文窗口达到限制或服务重启后保留，从而支持持续数小时或数天且不会丢失上下文的调查。
• 实时 Web 控制面板——作为可视化伴侣，在 AI 工作时实时更新：包含带 XREF 分析的函数分流、交互式调用图、字符串浏览器、MITRE ATT&CK 矩阵、十六进制查看器和分析时间线。在控制面板上设置的分析人员标记会直接反馈给 AI，用于生成工具建议。

适用人群：

• SOC 分析人员——数秒内自动完成分流、风险评分、MITRE 映射和 IOC 提取；通过 Web 控制面板进行可视化审查
• 恶意软件逆向分析人员——用自然语言驱动反编译、符号执行、交互式调试，以及跨多阶段载荷的数据转换
• 事件响应人员——在时间紧迫时快速提取 C2 配置、网络指标并生成结构化报告
• 学习者——使用内置交互式 RE 导师，通过苏格拉底式引导、进度跟踪和真实工具动手练习开展学习
• 威胁情报团队——自动生成相似性哈希、识别家族、生成 YARA 规则并跨二进制文件匹配函数

---

核心功能

• 多格式支持 —— 支持 PE、ELF、Mach-O、.NET、Go、Rust 和原始 shellcode，并自动检测格式、在解析前检查完整性（检测截断、损坏和空值填充）。对于未知格式（ZIP、PDF、PCAP），会回退到原始模式并提供明确指引，而不是崩溃。pefile 无法处理格式错误的 PE 时，LIEF 会作为备用解析器。
• Angr 驱动的分析 —— 提供 46 个工具，用于反编译、批量反编译、CFG、符号执行、数据流分析、切片和仿真
• 全面的静态分析 —— 提供 27 个 PE 结构工具、YARA/capa/PEiD/FLOSS 特征、加密检测、十六进制模式搜索和 IOC 导出
• Binary Refinery 集成 —— 提供 23 个高效利用上下文的工具，可封装 200 多种可组合的数据转换（编码、加密、压缩、取证）
• 跨平台仿真 —— 支持 Speakeasy（Windows API）和 Qiling（Windows/Linux/macOS、x86/x64/ARM/MIPS）
• 交互式调试器 —— 提供 29 个工具，用于单步仿真，支持断点、监视点、内存检查、快照、API 调用跟踪、I/O 捕获、自定义 API 存根和内存搜索；最多支持 3 个并发调试会话
• 函数相似度（BSim 风格） —— 使用 8 组特征（CFG、API 调用、VEX IR、字符串、常量、大小、块哈希、调用上下文）跨二进制匹配函数，不依赖架构。每个二进制文件都会在丰富分析期间自动编入索引；重命名会同步到 BSim 数据库，因此 transfer_annotations 能将你的分析结果应用到变体文件。包含整二进制分诊、置信度评分和误报防护
• 交互式注释 —— 重命名函数和变量、定义自定义结构体/枚举、添加地址标签；所有内容都会跨会话持久保存，并自动应用于反编译输出
• 会话持久化 —— 笔记、重命名、自定义类型、工具历史记录和分析缓存可在重启后保留，也不会受上下文窗口限制影响
• 自动丰富分析 —— 打开文件时，会自动在后台执行分类、分诊、MITRE 映射、IOC 收集、库识别和反编译扫描；在你提出请求前，结果就已准备就绪
• 面向 AI 优化的工作流 —— 提供精简分诊、智能函数排序、批量反编译、摘要概览和后续步骤指引
• 稳健的架构 —— 优先采用 Docker、线程安全状态、后台任务、分页、智能截断和优雅降级
• 简要描述 —— --brief-descriptions 会将工具描述缩减为首段摘要；对于不支持工具搜索的客户端，可将工具列表大小减少约 60%
• Web 仪表板 —— 在端口 8082 上提供实时 CRT 风格 Web 界面，包含二进制文件摘要、带 XREF 分析面板的函数分诊、带标签侧边栏的 dagre 布局调用图、分析时间线、字符串浏览器和笔记浏览器；分析人员标记会反馈到 AI 工具建议中

对比情况

	Arkana	Ghidra	IDA Pro	CyberChef
AI 推理	原生支持	不支持	不支持	不支持
反编译	Angr（多架构、批量）	Ghidra 反编译器	Hex-Rays（ $$$）	不支持
函数相似度	BSim 风格跨二进制	BSim（Java）	BinDiff/Lumina	不支持
数据转换	通过 Refinery 支持 200 多种	手动编写脚本	手动编写脚本	300 多种（手动）
仿真	Speakeasy + Qiling	有限支持	不支持	不支持
交互式调试	29 工具单步调试器	手动操作	手动操作	不支持
自动丰富分析	打开时在后台进行分诊	不支持	不支持	不支持
Web 仪表板	实时，14 个页面	不支持	不支持	不支持
学习曲线	自然语言	数月	数月	中等
费用	免费且开源	免费	每年 1,800 美元以上	免费

Arkana 是 Ghidra/IDA 的补充，而非替代品；详细分析请参见场景与对比。

Web 仪表板

Arkana 内置实时 Web 仪表板，会自动在端口 8082 上启动。它为 AI 驱动的分析提供可视化伴侣，让你观察并参与调查过程。

• 概览 -- 二进制文件摘要，包含风险评分、加壳状态、安全缓解措施、带有函数跳转链接的关键发现，以及最近的笔记
• 函数 -- 可排序的函数浏览器，提供分类按钮（FLAG / SUS / CLN）、XREF 分析面板、行内笔记、全文代码搜索和符号树视图——点击 XREF 即可查看交叉引用，包括可疑 API 徽标、可点击并跳转至目标函数的调用方/被调用方，以及相关字符串，无需先反编译
• 调用图 -- 交互式 Cytoscape.js 调用图，采用 dagre 分层布局；选中节点后显示带标签页的侧边栏（INFO / XREFS / STRINGS / CODE）、基于丰富度评分的边框粗细、带有蚂蚁线边缘的邻域高亮、搜索、书签，以及 PNG/SVG 导出
• 节区 -- PE/ELF 节区权限，突出显示异常（检测 W+X）并提供熵热图
• 导入项 -- DLL 导入表，按导出项/函数分组，并提供可点击的导出地址
• 十六进制视图 -- 无限滚动的十六进制转储，支持跳转至指定偏移量
• 字符串 -- 统一的字符串浏览器，带有 FLOSS 详情面板（类型细分、解码后/栈字符串预览）、类型/类别筛选、sifter 评分，以及带链接的函数列
• CAPA -- 按命名空间分组的能力匹配项，带有函数链接
• MITRE -- ATT&CK 技术矩阵，带有 IOC 面板
• 类型 -- 用于解析二进制数据的自定义结构体/枚举类型编辑器
• 相似性 -- BSim 分类（二进制文件整体与特征数据库进行相似性比对）、BinDiff 函数级比较，以及特征数据库管理
• 时间线 -- 所有工具调用和笔记的时间顺序日志，带有可展开的详情面板，显示请求参数和结果摘要
• 笔记 -- 按类别筛选的所有分析笔记视图（general、function、tool_result、IOC、hypothesis、conclusion、manual），带有可点击的地址链接
• 全局状态栏 -- 在每个页面都能查看当前工具和后台任务进度
• 实时更新 -- AI 调用工具时，通过 SSE 驱动实时刷新

仪表板使用基于令牌的身份验证（持久化至 ~/.arkana/dashboard_token）。服务器启动时会打印带令牌的访问 URL。所有视图的截图请参阅仪表板图库。

---

示例报告

以下每份报告均由同一条提示词生成：“分析这个二进制文件，并告诉我它的作用。”

报告	样本	亮点
Trojan.Delshad BYOVD Loader	多阶段投放器	载荷提取、攻击链图、12 种 ATT&CK 技术
LockBit 3.0 Ransomware	加壳勒索软件	熵分析、加壳检测、存根提取
AsyncRAT .NET RAT	.NET RAT	元数据混淆情况下仍提取出 C2 配置
StealC Info Stealer	凭据窃取器	32 条 capa 规则、针对浏览器和 Steam、加密货币工具包
ValleyRAT Multi-Stage Loader	中国 APT RAT	5 阶段解包、自定义 ARX 密码逆向、C2 配置提取
Brute Ratel C4 Badger	商业 C2 植入体	PIC shellcode 跟踪、RC4 解包、C2 配置提取、17 种 ATT&CK 技术
CrackMeZ3S CTF Challenge	PELock 6-key crackme	通过 IAT 修补实现交互式调试器、代码洞 shellcode 注入、加密数据块解密、手动 XOR 密码逆向、MD5 哈希破解
Ternary Trap Neural Crackme	神经网络密码锁	自定义 NLI2 格式逆向、三元 MLP 重建、SIMD 汇编类型发现（cvtdq2pd）、自回归推理、DFS 密码搜索
ACRStealer Go Loader	Go 编译的信息窃取器	同日 Malware Bazaar 样本、Go pclntab 解析、自定义 5 阶段密码逆向、PEB 遍历式 API 规避、零静态 IOC、加密载荷提取
SalatStealer 3-Layer Stealer	3 层 Go 窃取器	AES-256-CBC 载荷解密、UPX 5.02 LZMA 手动解压、Go 模块映射、16 种浏览器 + 23 种钱包 + LSASS 转储、双重 Defender 规避、DoH C2
StealC v2 7-Layer AutoIt3 Loader	7 层进程镂空式加载器	IExpress SFX → 批处理反混淆 → PE 片段重组 → RanRot PRNG 解密 → 41-API 进程镂空 → RC4 + LZNT1 载荷提取 → StealC v2 PE，含加密的 C2 配置、构建器路径和凭据目标
Elysium RAT (SheetRAT)	基于 .NET 插件的 RAT	同日 MalwareBazaar 样本、自定义双字母表替换密码、恢复 313 个 C# 文件、提取 AMSI/ETW 修补字节、采用注册表 DLL 存储的插件框架架构、使用 Dead Drop Resolver 的双 C2
CrySome RAT	.NET 模块化 RAT	反编译 124 个 C# 文件、恢复出厂设置后仍能存活的 5 层持久化机制、被终止时触发蓝屏的自我保护、针对 114+ 种产品的 5 向量 AV 杀手、支持 6 种浏览器的 HVNC、DLL 注入式凭据窃取、相互看门狗进程
MBA-Obfuscated WinHTTP RAT	同日 Malware Bazaar RAT	完整 C2 协议逆向（4 条命令、版本化协议、绕过 Cloudflare）、隐藏 XOR 加密的混合布尔算术混淆、Base64+XOR 加密的 C2、下载并执行（EXE/DLL/自定义）、27 种反分析技术、内嵌 Chromium 表单注入、包含作者拼写错误特征的系统分析

---

分析工作原理

Arkana 遵循结构化、证据优先的方法——这与专业恶意软件分析师使用的分阶段工作流相同，并通过 308 种工具自动编排。每项结论都引用具体的工具输出，指标仅作为线索（而非结论），且 AI 必须先反编译执行解密的函数，才能尝试解密。

阅读完整方法论及带注释的 AsyncRAT 分析过程 →

---

4 条命令快速开始

Arkana 可与 Claude Code 及任何兼容 MCP 的客户端配合使用。使用 Claude Code 和 Docker 快速上手：

# 1. Clone and build (first build takes a few minutes)
git clone https://github.com/JameZUK/Arkana.git
cd Arkana
./run.sh --build

# 2. Add Arkana to Claude Code
claude mcp add --scope project arkana -- ./run.sh --samples ~/your-samples --stdio
# Optional: reduce context window usage with shorter tool descriptions
claude mcp add --scope project arkana -- ./run.sh --samples ~/your-samples --stdio --brief-descriptions

# 3. Start Claude Code and analyse a binary
claude

然后在 Claude Code 中使用 /arkana-analyse 技能，以获得最佳效果：

> /arkana-analyse suspicious.exe

也可以直接提问：

> Open suspicious.exe and tell me if it's malicious

此外还有 /arkana-learn 技能——这是一位交互式逆向工程导师，会使用 Arkana 的工具，带你亲手学习二进制分析。

如需了解其他 MCP 客户端、本地 Python 安装和详细配置，请参阅安装指南。

---

演示

AsyncRAT 分析——只需一个提示词，即可完成全面分类、C2 提取和 MITRE ATT&CK 映射：

_{交互式回放：asciinema play docs/demos/demo-asyncrat.cast}

多阶段调查——通过反编译、仿真和结构化结果进行深入分析：

_{交互式回放：asciinema play docs/demos/demo-analysis.cast}

---

文档

文档	描述
安装指南	Docker、本地和最简安装；运行模式；多格式二进制文件支持
分析方法	八阶段分析流水线、逐工具讲解、决策逻辑、内置防护措施，以及带注释的 AsyncRAT 示例
Claude Code 集成	通过 CLI 和 JSON 配置进行设置；分析和学习技能；常见工作流及查询示例
配置	API 密钥、分析缓存和命令行选项
工具参考	按类别整理的全部 308 个 MCP 工具目录
VM 保护的二进制文件	使用 Frida DBI 脚本分析 VMProtect/Themida/Enigma 二进制文件；四阶段流水线
场景与对比	七个真实分析案例；Arkana 与 Ghidra、IDA Pro、CyberChef 的对比
架构	软件包结构、设计原则、分页和结果限制
安全与测试	路径沙箱、安全措施、测试和 CI/CD
Web 仪表板	在端口 8082 上实时分析的仪表板；函数分类、调用图、时间线、笔记
Qiling Rootfs 设置	用于 Qiling 跨平台仿真的 Windows DLL 设置
依赖项	库依赖和可选组件详情
未来改进	路线图和计划中的增强功能
贡献	贡献指南和开发工作流

---

贡献

欢迎贡献！详情请参阅贡献指南。

1. Fork 此仓库
2. 创建功能分支（git checkout -b feature/your-enhancement）
3. 提交更改
4. 发起 Pull Request

---

许可

本项目根据 MIT 许可协议分发。更多信息请参阅 LICENSE。

---

免责声明

本工具包按“原样”提供，仅用于教育和研究目的。它能够在沙箱环境中执行所分析二进制文件的部分内容（通过 angr 仿真和符号执行）。分析不可信文件时务必谨慎。作者不对软件的滥用或因使用本软件而造成的损害承担任何责任。

---

如果 Arkana 对你有帮助，欢迎给它点个星——这有助于其他人发现此项目。

报告错误 | 请求功能 | 完整工具参考