SigLens : toolkit open-source d'analyse forensique et de diagnostic de signatures AV sous Windows

🔍 Contexte

Publié le 01/10/2026 sur GitHub (github.com/St0rn/SigLens), cet article présente SigLens, un toolkit de sécurité local Windows développé par St0rn / CybersecurIT, destiné au triage d’artefacts, au diagnostic de signatures, à l’investigation de faux positifs et aux workflows Red Team / detection engineering.

🛠️ Fonctionnalités principales

SigLens orchestre plusieurs capacités d’analyse sans modifier l’artefact analysé :

• Analyse statique PE : hashes, entropie, sections, imports/exports, ressources, overlay, strings ASCII/UTF-16LE
• Corrélation YARA : offsets natifs YARA corrélés aux sections PE, RVA, VA et symboles PDB/source
• Scan multi-moteurs AV : Microsoft Defender, ClamAV, ESET Endpoint Security, Sophos, Avast Business, Malwarebytes, et scanners CLI génériques via engines.json
• AMSI full-buffer : soumission du buffer complet via AmsiScanBuffer sans découpage ni obfuscation
• Analyse structurelle de scripts : PowerShell (AST natif), JavaScript, VBScript, WSF avec cartographie des fonctions et blocs
• Prefix-based AV detection-boundary narrowing : bornage reproductible de la transition CLEAN -> DETECTED par scans de préfixes progressifs
• Extraction d’IOCs : URLs, IPv4, domaines, chemins Windows depuis le contenu imprimable
• Intégration capa : embedding des résultats de capa dans le rapport
• Rapports JSON et HTML

⚙️ Architecture technique

L’outil fonctionne sous Windows 10/11 ou Windows Server, nécessite PowerShell 5.1+ et Python 3.11+ pour l’exécution en mode source. Un exécutable standalone SigLens.exe est générable via Build.ps1. La configuration des moteurs AV tiers s’effectue via un fichier engines.json avec des adaptateurs CLI paramétrables.

📋 Précisions opérationnelles

• Le bornage par préfixe est inféré et non un offset natif retourné par le moteur AV
• CANDIDATE_REGION signifie une région méritant revue analytique, pas une signature confirmée
• SigLens ne désactive pas les contrôles AV/EDR, ne patche pas AMSI et ne réécrit pas les fichiers analysés

📌 Nature de l’article

Il s’agit d’une annonce de nouvel outil open-source à destination des analystes CTI, ingénieurs de détection et équipes Red Team, présentant exhaustivement les fonctionnalités, l’architecture et les cas d’usage de SigLens.

🧠 TTPs et IOCs détectés

IOC

• Fichiers : SigLens.exe

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 4 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• SigLens (tool)
• ClamAV (tool)
• capa (tool)

🔴 Indice de vérification factuelle : 21/100 (basse)

• ⬜ github.com — source non référencée (0pts)
• ✅ 11158 chars — texte complet (fulltext extrait) (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ⬜ aucune TTP identifiée (0pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://github.com/St0rn/SigLens