analyzer

يقوم هذا المشروع بأتمتة المهام اليومية لدور محلل استخبارات التهديدات داخليًا دون تفاعل مع موارد خارجية. يحلل الملفات الحساسة (البرامج الضارة) أو البيانات ويصورها وينظمها عن طريق استخراج الميزات والآثار ومؤشرات الاختراق باستخدام وحدات مختلفة. يمكن دمج مخرجات هذه الوحدات بسهولة في منصات البحث أو منصات مركز عمليات الأمن لديك.

تثبيت

git clone https://github.com/qeeqbox/analyzer.git && cd analyzer && chmod +x run.sh && ./run.sh auto_configure

واجهة

مخرجات

• تقارير APT-Malware بصيغ JSON\HTML (+190 عينة)

ميزات

• يعمل محليًا (بدون اتصال بالإنترنت)
• تحليل buffer أو ملف أو مجلد كامل
• تحليل فوري (يتم حفظ الجلسة)
• وضعان (تفاعلي وصامت)
• يولد HTML أو JSON كمخرج
• تفريغ ملف الإخراج مع التفاصيل إلى mongodb
• حفظ نتيجة JSON الخام إلى mongodb
• معلومات أساسية عن الملف: MD5، charset، mime، ssdeep
• طرق تحليل مختلفة للسلاسل/الأنماط
• خدمة ويب و API
• تلميحات IPs والمنافذ وأوصاف الدول
• صورة عالمية لـ IPs وأعلام الدول
• أوصاف خوادم DNS (أفضل الخوادم)
• صورة موجهة بالقوى للآثار
• صورة موجهة بالقوى وجدول للمراجع المتقاطعة
• صورة تشابه مقسمة إلى فئات
• وحدة YARA، وقواعد YARA من yara-rules-github
• وحدة YARA تتضمن الشروط والعلامات حسب الفهرس
• قائمة بيضاء مطبقة (ملفات Windows 7 و8 و10)
• فحص WAF وتجاوز الوكيل
• فحص التهجئة وعلامات الترقيم
• كلمات التصيد الأعلى مضمنة
• دعم Snort
• وحدات PDF وRTF والتصيد وMS office وHTML
• كشف الكلمات الإنجليزية NL
• كشف كلمات OCR
• كشف تشابه المواقع (أفضل 10000)
• كشف BOM (علامة ترتيب البايت)
• كشف أدوات وأنماط MITRE ATT&CK (قد تكون نتائج إيجابية خاطئة)
• استخراج مختصرات URL
• استخراج ASCII من UNICODE
• استخراج البريد الإلكتروني المجاني/المزيف
• استخراج أنماط URL و EMAIL و TEL
• استخراج أنماط بطاقات الائتمان والبيانات الاعتمادية والأسرار
• استخراج أنماط التشفير (base64, md5, sha1..)
• استخراج أنماط DGA (خوارزمية توليد النطاق)

الوحدات

• مغلف لينكس - معلومات ELF، أوصاف دوال API، أوصاف أوامر النظام، أوصاف الأقسام، أوصاف المكتبات، كشف الأقسام المشفرة، استخراج الرموز، تعيين أدوات MITRE للكشف، كشف المراجع المتقاطعة، كشف السلوك
• مغلف ويندوز - معلومات PE، كشف الأقسام المشفرة، أوصاف الأقسام، أوصاف DLL، استخراج الرموز، استخراج التوقيع والتحقق منه، أوصاف API، كشف ASLR و DEP و SEH و CFG لـ PE، تعيين أدوات MITRE للكشف، كشف سلوك API، حقن DLL، Process Hollowing، Process Doppelganging إلخ..، كشف المراجع المتقاطعة، استخراج الأيقونة، استخراج معلومات ملف السلسلة، FileDescription، FileDescription إلخ..
• مغلف أندرويد - معلومات APK، معلومات DEX، أوصاف Manifest، أوصاف Intent، استخراج الموارد، استخراج الرموز، استخراج الفئات، تحديد الدوال الكبيرة، كشف المراجع المتقاطعة، كشف سلوك API
• مدمج iPhone - معلومات IPA
• مدمج BlackBerry COD - معلومات COD، استخراج الدوال، استخراج السلاسل
• مغلف PCAP - تصفية الإطارات، تصفية HTTP، تصفية DNS، تصفية ARP، كشف WAF، كشف DGA، تحليل Snort
• مدمج PDF - تعداد الكائنات، المفاتيح، javascript، js، OpenAction، الاستخراج، تحليل التدفقات، تحليل السلاسل
• مدمج Office ومغلف - استخراج المعلومات الوصفية، استخراج الروابط التشعبية والهدف، محلل Bin القابل للطباعة، استخراج النص، استخراج DDE، استخراج الماكرو
• مغلف OLE - عدد الكائنات، استخراج الكائنات، استخراج الماكرو
• مدمج البريد الإلكتروني ومغلف - معلومات الرأس، استخراج المرفقات وتحليلها، استخراج النص، فحص أنماط التصيد
• مغلف الأرشيفات - استخراج mimes والتخمين حسب الامتدادات، إيجاد الأنماط في جميع الملفات غير المضغوطة، كشف الأرشيفات المشفرة
• مغلف HTML - استخراج السكريبتات، iframes، الروابط والنماذج، فك/تحليل الروابط، إنتروبيا السكريبت
• بعض الأنماط - AWS Clint ID، Amazon MWS Auth Token، Amazon S3، ALIYUN OSS، AZURE Storage، Facebook Access Token، Github Token، Goole API Key، Google CAPTCHA، Google OAuth، Google Secret، Google OAuth Access Token، Mailgun API Key، MailChimp API، Picatic API، Slack Token، Square Access Token، Square OAuth Secret، Stripe API، Twilio API، Twilio SID

تهيئة تلقائية بنقرة واحدة

git clone https://github.com/qeeqbox/analyzer.git
cd analyzer
chmod +x run.sh
./run.sh auto_configure
سيتم فتح واجهة المشروع http://127.0.0.1:8000/login/ تلقائيًا بعد الانتهاء من عملية التهيئة

أو، إذا كان لديك docker-compose بالفعل

docker-compose -f docker-compose-dev.yml up --build
ثم افتح http://127.0.0.1:8000/login/

المتطلبات الأساسية

apt-get install -y python3 python3-pip curl libfuzzy-dev yara libmagic-dev libjansson-dev libssl-dev libffi-dev tesseract-ocr libtesseract-dev libssl-dev swig p7zip-full radare2 dmg2img mongodb redis

pip3 install pyelftools macholib python-magic nltk Pillow jinja2 ssdeep pefile scapy r2pipe pytesseract M2Crypto requests tld tldextract bs4 psutil pymongo flask pyOpenSSL oletools extract_msg

حزم المتطلبات الأساسية مطلوبة لبعض الوحدات (إذا كنت تواجه مشاكل في استخدام هذه الحزم، قد أتمكن من مشاركة بدائلي الخاصة التي طورتها سابقًا بلغة C#\C)

خارطة الطريق

• تحليل Java (مطلوب من المستخدمين)
• كشف الويب
• إضافة مغلفات اسم المستخدم وكلمة المرور لقواعد البيانات
• تنظيف CSS

الموارد

توثيق لينكس، توثيق MacOS، توثيق ويندوز، توثيق أندرويد، software77، MITRE ATT&CK™، sc0ty، hexacorn، PEID، steren، bacde، cisco umbrella، مجتمع yara rules، الكثير من الأبحاث

التراخيص الأخرى

باستخدام هذا الإطار، فإنك توافق على شروط ترخيص جميع هذه الحزم: yara، Yara-Rules، tesseract-ocr، swig، radare، vu1tur، oletools، mongodb، supervisor، msg-extractor، snort، pyelftools، macholib، pefile، scapy، python-magic، flask، werkzeug، gunicorn، flask-mongoengine، flask-admin، flask-login، flask-bcrypt، pyopenssl، flask-markdown، tld، psutil، gevent، dateutil، requests، pymongo، BeautifulSoup، tldextract، m2crypto، radare2، ssdeep، jinja2، Pillow، nltk، p7zip، redislabs، redis-py

إخلاء مسؤولية\ملاحظات

• لا تقم بالنشر دون التهيئة المناسبة
• قم بإعداد بعض قواعد أمان المجموعة وإزالة بيانات الاعتماد الافتراضية
• هذا المشروع ليس مشروعًا لمكافحة البرامج الضارة ولا يقوم بعزل أو حذف الملفات الضارة
• تم تطوير هذا المشروع لتحليل البيانات المصنفة وتدريب بعض الذكاء الاصطناعي محليًا دون تفاعل مع الإنترنت/الخارج
• يرجى إبلاغي إذا فاتني مورد أو تبعية

مشاريع أخرى