IRFuzz - ماسح ضوئي بسيط بقواعد Yara

IRFuzz هو ماسح ضوئي بسيط بقواعد yara لأرشفة المستندات أو أي ملفات.

تثبيت

1. المتطلبات الأساسية

لينكس أو OS X

• Yara: فقط استخدم الكود المصدري لأحدث إصدار، قم بتجميعه وتثبيته (أو تثبيته عبر pip install yara-python)
• قواعد Yara - يمكنك تنزيل قواعد yara من هنا أو استيراد مجموعة القواعد المخصصة الخاصة بك.
• تبعيات بايثون

تُدار التبعيات باستخدام pipenv. للبدء، قم بتثبيت التبعيات وتفعيل البيئة الافتراضية بالأوامر التالية:

$ pipenv install

$ pipenv shell

تشغيل IRFuzz - Watchd

تشغيل IRFuzz

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

الميزات المدعومة

• مسح الملفات الجديدة باستخدام inotify
• الاستقصاء إذا لم يكن inotify مدعومًا
• دعم الامتدادات المخصصة
• وضع الحذف سيحذف الملف المتطابق
• فحص الدليل بشكل متكرر
• يسرد دوال Yara المتطابقة مع yarastrings مع ctime
• نتائج CSV لـ Filebeat

الامتدادات المخصصة

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

تنبيه مطابقة قاعدة yara

قم بإنشاء رمز مميز من https://irfuzz.com/tokens

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

قم بتكوين التنبيهات من الموقع إلى تيليجرام أو بريدك الإلكتروني.

حذف الملف المتطابق

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

الاستقصاء (inotify غير مدعوم)

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

يضيف خيار --poll لفرض استخدام آلية الاستقصاء للكشف عن التغييرات في دليل البيانات. الاستقصاء أبطأ من الآلية الأساسية في نظام التشغيل للكشف عن التغييرات ولكنه ضروري مع أنظمة ملفات معينة مثل تركيبات SMB.

الامتدادات الافتراضية إذا لم يتم ذكر أي امتدادات.

صيغ ملفات Microsoft Office Word المدعومة

.doc .docm .docx .docx .dot .dotm .dotx .odt

صيغ ملفات Microsoft Office Excel المدعومة

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

صيغ ملفات Microsoft Office PowerPoint المدعومة

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

يستخدم IRFuzz zipdump.py لتحليل ملفات zip.