ph0neutria

متعقب البرامج الضارة ph0neutria
v1.0.1
https://github.com/phage-nz/ph0neutria

ملاحظة: هذا المشروع لا يتم صيانته بنشاط.

حول

ph0neutria هو منشئ حديقة حيوان للبرامج الضارة يقوم بجلب العينات مباشرة من البرية. يتم تخزين كل شيء في Viper لسهولة الوصول والإدارة.

هذا المشروع مستوحى من Ragpicker (https://github.com/robbyFux/Ragpicker، المعروف سابقاً باسم "Malware Crawler"). ومع ذلك، يهدف ph0neutria إلى:

• تقليل نطاق الزحف ليشمل فقط المصادر التي يتم تحديثها بشكل متكرر وموثوقة.
• تعظيم فعالية المؤشرات الفردية.
• توفير آلية تخزين واحدة وموثوقة ومنظمة جيداً.
• عدم القيام بعمل يمكن بدلاً من ذلك أن يقوم به Viper.

ماذا يعني الاسم؟ "Phoneutria nigriventer" يُعرف عادةً باسم العنكبوت البرازيلي المتجول: https://en.wikipedia.org/wiki/Brazilian_wandering_spider

المصادر

اعتباراً من الإصدار 1.0.0، تم إنشاء جميع المصادر كـ 'إضافات'، موجودة في الدليل الفرعي للإضافات داخل مجلد البرامج النصية الأساسية. المصادر الافتراضية هي:

• 0xffff0800's Malware Library (المصدر: http://0day.coffee).
• CleanMX (يتطلب وكيل مستخدم معتمد).
• Cymon، والذي يتضمن: Abuse.ch trackers وBambenek C2 feed وCyber Crime Tracker وMalc0de وURLVir وVX Vault.
• Hybrid Analysis (يتطلب مفتاح API مفحوص).
• OTX.
• Shodan، باستخدام ميزة البحث Malware Hunter.
• URLhaus.

كل إضافة تحتوي على معاملات يجب إكمالها قبل التشغيل. ستجدها في أعلى كل ملف إضافة.

VirusTotal هو مكون أساسي في ph0neutria ولا يمكن تعطيله. يتم تغذية قوائم IP فيه لاكتشاف عناوين URL المعروفة لتلك العناوين. إذا كان لديك مفتاح API قياسي بـ 5 طلبات/دقيقة، فإنني أشجعك على أن تكون متحفظاً في ما تغذيه به. يمكنك القيام بذلك عن طريق:

• تقليل عدد مصادر Cymon.
• تقليل عدد اشتراكاتك في OTX.
• تعيين معامل SCORE_MIN لـ Hybrid Analysis إلى 100.

لقطات الشاشة

ملاحظات الإصدار

• 0.6.0: يتطلب التوكيل عبر Tor تثبيت pysocks (pip install pysocks) وإصداراً 2.10.0 على الأقل من python requests لدعم وكيل SOCKS.
• 0.9.0: تم سحب وظيفة OSINT من Phage Malware Tracker (مشروع خاص) - يتطلب مفتاح API لـ VirusTotal. استرجاع أكثر قوة للملفات البرية. تخزين مؤقت لعناوين URL والتجزئات محلياً (يقلل من حمل API).
• 0.9.1: تم التحديث لاستخدام Viper API V3. لم يعد متوافقاً مع V2.
• 1.0.0: تحديث كبير. سحب من Safari Guide malware pipeline. بنية إضافات. Python 3.0.
• 1.0.1: تحديث المصدر (إضافة مكتبة 0xffff0800). يمكن الآن وسم العينات بتصنيف مصدره VirusTotal.

التثبيت

النص البرمجي التالي سيقوم بتثبيت ph0neutria مع Viper وTor:

wget https://raw.githubusercontent.com/phage-nz/ph0neutria/master/install.sh  
chmod +x install.sh  
sudo ./install.sh  

بهذه البساطة!

اختياري:

تكوين توقيعات ClamAV إضافية:

cd /tmp  
git clone https://github.com/extremeshok/clamav-unofficial-sigs  
cd clamav-unofficial-sigs  
cp clamav-unofficial-sigs.sh /usr/local/bin  
chmod 755 /usr/local/bin/clamav-unofficial-sigs.sh  
mkdir /etc/clamav-unofficial-sigs  
cp config/* /etc/clamav-unofficial-sigs  
cd /etc/clamav-unofficial-sigs

أعد تسمية os..conf إلى os.conf، على سبيل المثال:

mv os.ubuntu.conf os.conf  

قم بتعديل ملفات التكوين:

• master.conf: ابحث عن "Enabled Databases" وقم بتمكين/تعطيل المصادر المرغوبة.
• user.conf: قم بإلغاء تعليق الأسطر المطلوبة للمصادر التي قمت بتمكينها وأكملها. user.conf يلغي master.conf. يجب عليك إلغاء تعليق user_configuration_complete="yes" بعد إكمال الإعداد لتنجح الأوامر التالية.

لمزيد من معلومات التكوين، انظر: https://github.com/extremeshok/clamav-unofficial-sigs

mkdir /var/log/clamav-unofficial-sigs  
clamav-unofficial-sigs.sh --install-cron  
clamav-unofficial-sigs.sh --install-logrotate  
clamav-unofficial-sigs.sh --install-man  
clamav-unofficial-sigs.sh  
cd /tmp/clamav-unofficial-sigs  
cp systemd/\* /etc/systemd  
cd ..  
rm -rf clamav-unofficial-sigs*  

سيستغرق سحب التوقيعات الجديدة بعض الوقت - وخلال ذلك قد لا يكون ClamAV متاحاً.

الاستخدام

اتخذ الاحتياطات عند تجميع حديقة الحيوان الخاصة بالبرامج الضارة:

• لا تقم بتعطيل Tor إلا إذا كنت تستبدله بشبكة VPN مجهولة.
• اعمل على شبكة معزولة وعلى أجهزة مخصصة.
• قم بتنفيذ العينات فقط في صندوق رمل مناسب (راجع: https://github.com/phage-nz/malware-hunting/tree/master/sandbox).
• راقب إساءة استخدام مفاتيح API الخاصة بك.

تأكد من بدء تشغيل Tor:

service tor restart

قم بتشغيل واجهة Viper API وواجهة الويب:

cd /opt/viper  
sudo -H -u spider python3 viper-web

لاحظ كلمة المرور الخاصة بالمسؤول التي يتم إنشاؤها عند تشغيل Viper. استخدمها لتسجيل الدخول إلى http://<viper IP\>:<viper port>/admin (الافتراضي: http://127.0.0.1:8080/admin) واسترجاع رمز API من صفحة Tokens.

ستكون واجهة الويب الرئيسية لـ Viper متاحة على http://<viper IP>:<viper port> (الافتراضي: http://127.0.0.1:8080).

• أكمل ملف التكوين في: /opt/ph0neutria/core/config/settings.conf
• أكمل المعاملات في أعلى كل إضافة. إذا كنت ترغب في تعطيل الإضافة، قم بتعيين DISABLED = True: /opt/ph0neutria/core/plugins/*.py

ابدأ تشغيل ph0neutria:

cd /opt/ph0neutria  
sudo -H -u spider python3 run.py

يمكنك الضغط على Ctrl+C في أي وقت لإنهاء التشغيل. يمكنك إعادة تشغيله متى شئت - لن ينتهي بك الأمر إلى تكرار البيانات في قاعدة البيانات.

لتشغيل هذا يومياً، أنشئ script في /etc/cron.daily يحتوي على التالي:

#!/bin/bash  
cd /opt/ph0neutria && sudo -H -u spider python3 run.py

العلامات والملاحظات

العلامات:
{1},{2},{3}

• طابع التاريخ.
• نطاق العينة.
• ASN للمضيف.
• بلد المضيف.

الملاحظات:
{1)({2}) via {3}

• عنوان URL للعينة.
• عنوان IP للمضيف.
• مصدر عنوان URL.

يشكل الاسم الأصلي للملف الاسم المميز داخل Viper.

المراجع

• http://docs.cymon.io/ - توثيق API لـ Cymon.
• https://www.hybrid-analysis.com/docs/api/v2 - توثيق API لـ Hybrid Analysis.
• http://malshare.com/doc.php - توثيق API لـ MalShare.
• https://otx.alienvault.com/api - توثيق API لـ AlienVault OTX.
• https://urlhaus.abuse.ch/api/ - توثيق API لـ URLhaus.
• https://developer.shodan.io/api - توثيق API لـ Shodan.
• http://viper-framework.readthedocs.io/en/latest/usage/web.html - توثيق API لـ Viper.
• https://developers.virustotal.com/v2.0/reference - توثيق API لـ VirusTotal.