munin

 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

مدقق هاش عبر الإنترنت لـ Virustotal وخدمات أخرى
فلوريان روث

ما هو Munin؟

Munin هي أداة لفحص الهاشات عبر الإنترنت تجلب معلومات قيّمة من مصادر متعددة على الإنترنت.

الإصدار الحالي من Munin يستعلم الخدمات التالية:

• Virustotal
• HybridAnalysis
• Any.Run
• URLhaus
• MISP
• CAPE
• Malshare
• Valhalla
• Hashlookup

لقطة شاشة

الوضع الافتراضي - قراءة الهاشات من ملف

الاستخدام

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Online Hash Checker

optional arguments:
  -h, --help            show this help message and exit
  -f path               File to process (hash line by line OR csv with hash
                        in each line - auto-detects position and comment)
  --vh search-string    Query Valhalla for hashes by keyword, tags, YARA
                        rule name, Mitre ATT&CK software (e.g. S0154),
                        technique (e.g. T1023) or threat group (e.g. G0049)
  --vhrule search-string
                        Query Valhalla for hashes via rules by keyword,
                        tags, YARA rule name, Mitre ATT&CK software (e.g.
                        S0154), technique (e.g. T1023) or threat group
                        (e.g. G0049)
  -o output             Output file for results (CSV)
  --vtwaitquota         Do not continue if VT quota is exceeded but wait
                        for the next day
  --vtminav min-matches
                        Minimum number of AV matches to query hash info
                        from VT"
  --limit hash-limit    Exit after handling this much new hashes in batch
                        mode (cache ignored).
  --vhmaxage days       Maximum age of sample on Valhalla to process
  -c cache-db           Name of the cache database file (default: vt-hash-
                        db.json)
  -i ini-file           Name of the ini file that holds the API keys
  -s sample-folder      Folder with samples to process
  --comment             Posts a comment for the analysed hash which
                        contains the comment from the log line
  -p vt-comment-prefix  Virustotal comment prefix
  --download            Enables Sample Download from Hybrid Analysis.
                        SHA256 of sample needed.
  -d download_path      Output Path for Sample Download from Hybrid
                        Analysis. Folder must exist
  --nocache             Do not use cache database file
  --nocsv               Do not write a CSV with the results
  --verifycert          Verify SSL/TLS certificates
  --sort                Sort the input lines
  --web                 Run Munin as web service
  -w port               Web service port
  --cli                 Run Munin in command line interface mode
  --rescan              Trigger a rescan of each analyzed file
  --debug               Debug output

الميزات

• يسترجع معلومات قيّمة من Virustotal عبر API (استجابة JSON) ومعلومات أخرى عبر الرابط الدائم (تحليل HTML)
• يسترجع معلومات إضافية من قائمة منصات
• يحتفظ بسجل (ذاكرة تخزين مؤقت) للاستعلام عن الخدمات مرة واحدة فقط لهاش قد يظهر عدة مرات في الملف النصي
• تُخزَّن الكائنات المخزنة مؤقتًا بصيغة JSON
• يُنشئ ملف CSV بالنتائج لسهولة المعالجة اللاحقة وإعداد التقارير
• يُلحق النتائج بملف CSV سابق إذا كان متاحًا

الشاشات المعروضة

• الهاش والتعليق (التعليق هو باقي السطر الذي استُخرج منه الهاش)
• تطابقات بائعي مضادات الفيروسات بناءً على قائمة يحددها المستخدم
• أسماء الملفات المستخدمة في البرية
• معلومات PE مثل الوصف واسم الملف الأصلي وبيان حقوق النشر
• مُوقِّع الملف التنفيذي المحمول المُوقَّع
• النتيجة بناءً على نسبة Virustotal
• الإرسال الأول والأخير
• علامات لبعض المؤشرات: غير ضار، مُوقَّع، منتهي الصلاحية، مُلغى، برنامج مايكروسوفت

الفحوصات الإضافية

• يستعلم Malshare.com عن رفع العينات
• يستعلم Hybrid-Analysis.com عن التقارير
• يستعلم عدة مثيلات MISP عن الأحداث المتاحة
• يستعلم صندوق الرمل Any.run عن التقارير
• يستعلم صندوق الرمل CAPE عن التقارير
• يستعلم URLhaus عن التقارير
• يستعلم Malshare عن العينات المتاحة
• يستعلم Valhalla عن تطابقات قواعد YARA
• تكرار Imphash في الدفعة الحالية > يتيح لك اكتشاف التداخلات في هاشات جدول الاستيراد
• فحوصات تكرار توقيع PE

طرق التشغيل

1. الافتراضي - بتوفير ملف إدخال (-f) به هاشات أو دليل عينات (-s)
2. الاستعلام - للبحث عن هاشات من Valhalla حسب كلمة مفتاحية أو علامات أو تقنية ATT&CK (مثل T1023) أو مجموعة تهديد ATT&CK (مثل G0049) أو اسم قاعدة (-q)
3. واجهة سطر الأوامر - باستخدام المعامل --cli
4. وضع خدمة الويب - باستخدام المعامل --web

البدء

1. قم بتنزيل / استنساخ المستودع
2. قم بتثبيت الحزم المطلوبة: pip3 install -r requirements.txt (على macOS أضف --user)
3. قم بتعيين مفاتيح API للخدمات المختلفة في ملف ini المخصص لك cp munin.ini my.ini (انظر قسم الحصول على مفاتيح API للمساعدة)
4. استخدم ملف العرض التوضيحي للتشغيل الأول: python munin.py -i my.ini -f munin-demo.txt

المتطلبات

• Python 3.7 وما فوق
• اتصال بالإنترنت (دعم الوكيل؛ يمكن أن يكون اعتراض SSL/TLS مشكلة)

أسطر أوامر نموذجية

معالجة نتيجة Virustotal Retrohunt وفرز الأسطر قبل الفحص بحيث تُفحص التواقيع المتطابقة في كتل

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

معالجة دليل يحتوي على عينات وفحص هاشاتها عبر الإنترنت

python3 munin.py -i my.ini -s ~/malware/case34

استخدام وضع واجهة سطر الأوامر (جديد في الإصدار v0.14)

python3 munin.py -i my.ini

الحصول على مفاتيح API

Virustotal

1. أنشئ حسابًا هنا https://www.virustotal.com/#/join-us
2. تحقق من Profile > My API key للحصول على مفتاح API العام الخاص بك

MalShare

سجل هنا https://malshare.com/register.php

Malware Bazaar

سجل هنا https://bazaar.abuse.ch/. يمكنك بعد ذلك العثور على مفتاح API الخاص بك في نظرة عامة على الحساب.

Hybrid Analysis

1. أنشئ حسابًا هنا https://www.hybrid-analysis.com/signup
2. بعد تسجيل الدخول، تحقق من Profile > API key

MISP

1. سجل الدخول إلى MISP الخاص بك
2. اذهب إلى ملفك الشخصي "My Profile"
3. يتم استخدام قيمة Authkey كمفتاح API
4. لاحظ أن ملف .ini يستخدم قائمة لكل من مثيلات MISP والمفاتيح API المقابلة

Valhalla

حاليًا للعملاء أو الباحثين المدعوين فقط
https://valhalla.nextron-systems.com/

Hashlookup

Hashlookup – مثيل CIRCL يتم توفيره مجانًا ويُقدَّم على أساس أفضل جهد.

وضع واجهة سطر الأوامر

شغّل munin مع --cli واتبع التعليمات.