PHP Malware Finder

 _______  __   __  _______
|  ___  ||  |_|  ||       |
| |   | ||       ||    ___|
| |___| ||       ||   |___   Webshell finder,
|    ___||       ||    ___|   kiddies hunter,
|   |    | ||_|| ||   |		website cleaner.
|___|    |_|   |_||___|

اكتشاف ملفات PHP يُحتمل أنها خبيثة.

ماذا يكتشف؟

يبذل برنامج php-malware-finder قصارى جهده لكشف الكود المُعقّد/المشبوه وكذلك الملفات التي تستخدم دوال PHP التي تستخدم غالبًا في البرامج الضارة/القذائف الويب.

يتم أيضًا اكتشاف قائمة المفكّكات/المعقّدات/القذائف الويب التالية:

• Best PHP Obfuscator
• Carbylamine
• Cipher Design
• Cyklodev
• Joes Web Tools Obfuscator
• P.A.S
• PHP Jiami
• Php Obfuscator Encode
• SpinObf
• Weevely3
• atomiku
• cobra obfuscator
• phpencode
• tennc
• web-malware-collection
• webtoolsvn
• novahot
• nano

بالطبع، من التافه تجاوز PMF، لكن هدفه هو اصطياد الصغار والأغبياء، وليس الأشخاص ذوي العقول العاملة. إذا أبلغت عن تجاوز مخصص غبي لـ PMF، فمن المحتمل أنك تنتمي إلى إحدى (أو كلتا) الفئتين، ويجب عليك إعادة قراءة العبارة السابقة.

كيف يعمل؟

يتم الكشف عن طريق فحص نظام الملفات واختبار الملفات ضد مجموعة من قواعد YARA. نعم، الأمر بهذه البساطة!

بدلاً من استخدام نهج يعتمد على التجزئة، يحاول PMF قدر الإمكان استخدام أنماط دلالية، لاكتشاف أشياء مثل "متغير $_GET يتم فك تشفيره مرتين، وفك ضغطه، ثم تمريره إلى دالة خطيرة مثل system".

التثبيت

• تثبيت Yara.
  يمكن القيام بذلك أيضًا عبر بعض مديري حزم لينكس:
  • دبيان: sudo apt-get install yara
  • ريد هات: yum install yara (يتطلب مستودع EPEL)

يمكنك أيضًا تجميعه من المصدر:

git clone [email protected]:VirusTotal/yara.git
cd yara/
YACC=bison ./configure
make

• قم بتنزيل php-malware-finder: git clone https://github.com/jvoisin/php-malware-finder.git

كيفية استخدامه؟

$ ./phpmalwarefinder -h
Usage phpmalwarefinder [-cfhtvl] <file|folder> ...
    -c  Optional path to a rule file
    -f  Fast mode
    -h  Show this help message
    -t  Specify the number of threads to use (8 by default)
    -v  Verbose mode

أو إذا كنت تفضل استخدام yara:

$ yara -r ./php.yar /var/www

يرجى مراعاة أنه يجب استخدام YARA 3.4 على الأقل لأننا نستخدم التجزئات لنظام القائمة البيضاء، والتعبيرات العادية الجشعة. يرجى ملاحظة أنه إذا كنت تخطط لبناء yara من المصادر، يجب تثبيت libssl-dev على نظامك لدعم التجزئات.

أوه، وبالمناسبة، يمكنك تشغيل مجموعة الاختبارات الشاملة باستخدام make tests.

القائمة البيضاء

تحقق من ملف whitelist.yar. إذا كنت كسولاً، يمكنك إنشاء قوائم بيضاء لمجلدات كاملة باستخدام برنامج generate_whitelist.py.

لماذا يجب أن أستخدمه بدلاً من شيء آخر؟

لأن:

• لا يستخدم قاعدة واحدة لكل عينة، حيث أنه يهتم فقط بإيجاد الأنماط الضارة، وليس قذائف ويب محددة
• لديه مجموعة اختبارات كاملة، لتجنب الانحدارات
• نظام القائمة البيضاء الخاص به لا يعتمد على أسماء الملفات
• لا يعتمد على (بطيء) حساب الإنتروبيا
• يستخدم تحليلًا ثابتًا على نمط الغيتو، بدلاً من الاعتماد على تجزئات الملفات
• بفضل التحليل الثابت الزائف المذكور، يعمل (خاصة) بشكل جيد على الملفات المعقدة

الترخيص

PHP-malware-finder مرخص بموجب رخصة GNU Lesser General Public License v3.

مشروع YARA الرائع مرخص بموجب رخصة Apache v2.0.

التصحيحات أو القوائم البيضاء أو العينات مرحب بها بالطبع أكثر من اللازم.