
Detection rule validation
تعمل الأداة على أتمتة عملية محاكاة أحداث العمليات الضارة دون الحاجة إلى إعداد عمليات حقيقية.
لنفترض أنك تريد اختبار قيام w3wp.exe بتشغيل Powershell، فستحتاج إلى المرور عبر إعداد iis لمحاكاة أحداث w3wp.exe، وهي مهمة تستهلك الكثير من الوقت إذا كان لديك العديد من القواعد للتحقق منها. نظرًا لأن محركات الكشف تعمل بناءً على مطابقة بسيطة للسلاسل النصية من أدوات جمع البيانات عن بُعد مثل Sysmon أو EDR، يمكن استخدام أي ملف ثنائي يحمل نفس اسم العملية الأب، واسم العملية الفرعية، وسطر الأوامر والمسار لاختبار المنطق، وبالتالي لا حاجة لإعداد iis لمحاكاة السلوك.

تتيح لك الأداة إنشاء عملية فرعية مع عملية أب مخصصة، واسم عملية فرعية مخصص، وسطر أوامر ومسار مخصصين. بالإضافة إلى بضعة أحداث أخرى مثل إنشاء ملف من عملية ومسار محددين، واستعلام DNS، والتسجيل (Registry)، واتصالات العمليات.
NAME:
Malware Cli - A new cli application
USAGE:
main.exe [global options] command [command options] [arguments...]
DESCRIPTION:
Detection validation tool.
The objective is to generate event with specific conditions to validate detection rule.
You can execute commands such as w3wp.exe spawning shell or winword creating file or making DNS queries.
COMMANDS:
argsfree Accept any commandline
connect Connect to host
download Download file
dnsquery Resolve DNS
execute Execute command with custom commandline and parent process
encrypt encrypt all files in a folder that match a pattern
createfile Create file at a spcific path
reg Add registry key
help, h Shows a list of commands or help for one command
GLOBAL OPTIONS:
--help, -h show help
قيام winword.exe بتشغيل cscript.exe
mcli.exe execute --parent winword.exe --command cscript.exe
قيام rundll32.exe بإجراء طلب DNS
mcli.exe dnsquery --binpath c:\temp\rundll32.exe --host malicious.com
قيام w.exe بإنشاء ملف من المسار C:\temp
mcli.exe createfile --path f.dat --binpath c:\temp\w.exe
شغّل التطبيق لتنزيل المتطلبات الأساسية والتحقق من التنفيذ
go run .
تجميع التطبيق
go build -o mcli.exe .