# malchela

Набор инструментов на Rust для разбора подозрительных файлов: хеши, строки, YARA, проверка по VirusTotal и MalwareBazaar. Подключается к Claude как MCP-сервер.

- плагин · `type=plugin` · Claude Code · ★ 117
- Автор: dwmetz
- Лицензия: MIT · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/dwmetz/MalChela
- Обновлён: 2026-09-30
- HTML: https://affpapa.org/nevibecode/plugins/malchela

## Что делает

MalChela собирает в одном месте то, что обычно раскидано по десятку утилит. File Analyzer считает хеши, энтропию, разбирает PE-структуру и сверяется с NSRL. mStrings вытаскивает строки из бинарников, включая Mach-O и `.app`, прогоняет их через regex и Sigma, отмечает IOC и сопоставляет с MITRE ATT&CK. Отдельные программы ищут несоответствия типов файлов в папке, распаковывают архивы с паролем и собирают YARA-правила из списка строк.

Запросы к внешним источникам — VirusTotal, MalwareBazaar, OTX, Hybrid Analysis и другим — идут через файлы с ключами. Ключи читаются только из `vt-api.txt` и `mb-api.txt` в корне проекта, переменные окружения не поддерживаются. Источники без ключа пропускаются молча, так что без настроенных файлов часть проверок просто не выполнится.

Бинарники нужно запускать из корня проекта: `cd /path/to/MalChela && ./target/release/<binary>`. Иначе не найдутся файлы ключей, правила YARA и Sigma. Для сборки нужен Rust и YARA версии выше 4.2, на macOS — ещё и переменные `YARA_LIBRARY_PATH` с `BINDGEN_EXTRA_CLANG_ARGS`, указывающие на префикс Homebrew. Есть PWA-интерфейс для работы из браузера в локальной сети и CLI для скриптов.

## Установка

### Claude Code (родная платформа)

**Через маркетплейс плагинов**
В чате агента (не в терминале):
```text
/plugin marketplace add anthropics/claude-plugins-community
```
В чате агента (не в терминале):
```text
/plugin install malchela@claude-community
```

## Когда брать
- разобрать подозрительный бинарник и получить хеши, энтропию и структуру PE
- вытащить строки из Mach-O и найти среди них сетевые IOC
- сгенерировать YARA-правило из списка строк
- проверить хеш сразу в нескольких источниках угроз
- распаковать архив с паролем и добраться до образца

## Примеры запросов агенту
- Прогони этот файл через File Analyzer и покажи отчёт
- Извлеки строки из `sample.app` и сопоставь их с MITRE ATT&CK
- Собери YARA-правило из этих строк и сохрани его

## Похожие
- [security-guidance](https://affpapa.org/nevibecode/plugins/security-guidance.md) — плагин · ★ 44635
- [mcp-tunnels](https://affpapa.org/nevibecode/plugins/mcp-tunnels.md) — плагин · ★ 44635
- [hookify](https://affpapa.org/nevibecode/plugins/hookify.md) — плагин · ★ 44635
- [code-modernization](https://affpapa.org/nevibecode/plugins/code-modernization.md) — плагин · ★ 44635
- [claude-security](https://affpapa.org/nevibecode/plugins/claude-security.md) — плагин · ★ 44635
- [google-cloud-developer](https://affpapa.org/nevibecode/plugins/google-cloud-developer.md) — плагин · ★ 21578

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md