للحصول على تعليمات حول كيفية استخدام Lupo، تفضل بزيارة https://github.com/malienist/lupo/wiki/Lupo-Wiki

Lupo — مستخرج مؤشرات الاختراق للبرامج الضارة

وحدة تصحيح لأتمتة تحليل البرامج الضارة

للحصول على مقالة خطوة بخطوة حول كيفية استخدام Lupo مع الصور والتعليمات، يرجى الاطلاع على هذا المنشور: https://medium.com/@vishal_thakur/lupo-malware-ioc-extractor-cc86ae76b85d

مقدمة

عند العمل على الحوادث الأمنية التي تتضمن برامج ضارة، نواجه بانتظام مواقف نشعر فيها بالحاجة إلى أتمتة أجزاء من عملية التحليل، لأن التحليل اليدوي الكامل غالبًا ما يكون غير ممكن لكل حالة بسبب عوامل عديدة (الوقت، المهارات، النطاق، إلخ).

لقد كتبت Lupo بشكل أساسي لأتمتة وتسريع العملية قدر الإمكان. Lupo هي أداة تحليل ديناميكي يمكن استخدامها كوحدة مع المصحح. الإصدار الأول يعمل مع مصحح ويندوز الشهير — WinDbg. سأصدر إصدارات لمصححين آخرين في المستقبل.

طريقة عمل الأداة واضحة ومباشرة. تقوم بتحميل Lupo في المصحح ثم تنفيذه. تقوم بتشغيل البرنامج الضار وجمع مؤشرات الاختراق المحددة مسبقًا وكتابتها في ملف نصي على القرص. يمكنك بعد ذلك استخدام هذه المعلومات لاحتواء حملات البرامج الضارة وتحييدها أو ببساطة الاستجابة للحادث الأمني الذي تعمل عليه.

Lupo — الأداة

سأقدم بعض التفاصيل الإضافية عن الأداة نفسها ولكن ليس كثيرًا عن آليات عملها الداخلية، على الأقل ليس هنا. يجب أن نضع في اعتبارنا أن مؤلفي البرامج الضارة أذكياء بما يكفي لتعديل الكود بسرعة لإحداث مشاكل لنا!

الأداة مكتوبة بلغة C++ وتستخدم إطار عمل تصحيح ويندوز لتنفيذ الكود. يمكن استخدامها مع WinDbg كـ 'إضافة' للمساعدة في أتمتة عملية التحليل.

إذا كنت ترغب في معرفة المزيد عن الأداة، فلا تتردد في الاتصال بي أو التعليق أدناه.

تحميل

قم بتنزيل جميع ملفات DLL من هذا المستودع. ستحتاج أيضًا إلى جميع تبعيات VC++، أسهل طريقة للقيام بذلك هي تثبيت Visual Studio (الإصدار المجتمعي يعمل) وتحديد جميع مكونات C++.

الاستخدام

استخدام الأداة سهل جدًا. تعمل بالطريقة التالية:

• احفظ ملحق Lupo في دليل الإضافات الخاص بك (الافتراضي: المجلد الفرعي sdk\samples\exts من دليل التثبيت). يمكنك أيضًا تحديد مسار الإضافات باستخدام الأمر ‘.extpath[+] [Directory[;…]]’.
• شغّل المصحح
• قم بإرفاق العملية المراد تصحيحها (البرنامج الضار في هذه الحالة)
• قم بتحميل Lupo باستخدام الأمر ‘.load’.
• قم بتنفيذ Lupo باستخدام هذا الأمر: ‘lupo.go’
• سيتم عرض جميع النتائج في وحدة التحكم وكتابتها أيضًا في ملف نصي جديد على القرص. سيتم عرض مسار واسم هذا الملف النصي في وحدة التحكم أيضًا. تم كل شيء!

يمكنك اختياريًا استخدام نتائج Lupo مع هذه الأداة الأخرى التي كتبتها — Ragno، لتطوير بحثك واستجابتك من خلال تجميع معلومات المصادر المفتوحة (OSINT) للبصمة الأوسع للحملة التي قد تتعامل معها. يمكنك القراءة عن Ragno في منشور آخر هنا: https://medium.com/@vishal_thakur/introducing-ragno-ioc-multiplier-9b75834353bb