sh3llyr/statistringsحاسبة إحصاءات سلاسل قواعد YARA ومساعد أبحاث البرمجيات الضارة
_ _ _ ____ _ _
___| |_ __ _| |_(_) ___|| |_ _ __(_)_ __ __ _ ___
/ __| __/ _` | __| \___ \| __| '__| | '_ \ / _` / __|
\__ \ || (_| | |_| |___) | |_| | | | | | | (_| \__ \
|___/\__\__,_|\__|_|____/ \__|_| |_|_| |_|\__, |___/
|___/
YARA Rule Strings Statistics Calculator
Shelly Raban (Sh3llyR), February 2021, Version 0.1
statiStrings هي أداة لحساب إحصائيات السلاسل النصية لقواعد YARA.
الهدف هو مساعدة أبحاث البرمجيات الخبيثة عن طريق:
تساعد هذه الأداة في كتابة قواعد YARA أفضل وأكثر دقة لاكتشاف البرمجيات الخبيثة وصيدها، بناءً على قواعد بيانات مخصصة للملفات الخبيثة والنظيفة.
بالنسبة لقاعدة YARA معينة ودليل ملفات، تقوم هذه الأداة بإرجاع مدى انتشار كل سلسلة نصية من القاعدة في الملفات المتطابقة من الدليل.
لاستخدام هذه الأداة، يجب أن يكون Python مثبتاً لديك.
تثبيت yara-python
pip install yara
استنساخ المستودع
git clone https://github.com/Sh3llyR/statiStrings.git
usage: statiStrings.py [-h] [-y YARA_RULE] [-d TEST_DIR] [-t OUTPUT_TYPE]
YARA Rule Strings Statistics Generator and Malware Research Helper
optional arguments:
-h, --help show this help message and exit
-y YARA_RULE Path to the YARA Rule
-d TEST_DIR Path to the Directory of Files to be Scanned
-t OUTPUT_TYPE Output Type: s (sum - number of files in which each string
from the YARA rule ocuured) / p (percentage - percent of
files in which each string from the YARA rule ocuured).
Default is s
بحث عن السلاسل النصية الشائعة في البرامج النصية الدفعية الخبيثة: أولاً، كتبت قاعدة YARA تحتوي على العديد من الأوامر التي وُجدت في البرامج النصية الخبيثة. وكان الشرط "أي منها" - عام جداً. ثم، قمت بتشغيل هذه الأداة مع القاعدة التي كتبتها ضد دليل البرامج النصية الخبيثة (كما هو موضح في المثال التالي). أخيراً، قمت بتشغيلها ضد دليل يحتوي على برامج نصية نظيفة. بعد مراجعة نتائج كل من البرامج النصية الخبيثة والنظيفة، تمكنت من:
{'$s_ren': 1, '$n_set': 8, '$s_mem': 1, '$s_reg_add': 8, '$s_taskkill': 4, '$n_exit': 9, '$s_maybe_block_sites_hosts_file': 1, '$s_move': 2, '$s_attrib': 6, '$n_copy': 6, '$n_start': 10, '$n_type': 7, '$n_echo': 26, '$n_reg': 11, '$s_aes': 1, '$s_cscript': 1, '$s_change_mouse_settings': 1, '$n_net': 3, '$n_find': 6, '$s_infinite_loop': 2, '$s_shutdown': 9, '$n_del': 6, '$n_goto': 12, '$s_generic_bat_maybe_copy_itself': 5, '$n_ipconfig': 2, '$n_maybe_time_change': 5, '$n_system': 2, '$s_tskill': 3, '$s_cpu_damage': 1, '$s_erase': 3, '$s_make_random_folders': 1, '$s_sleep': 4, '$n_bat_maybe_copy_itself': 9}
Number of files scanned: 157
{'$s_maybe_block_sites_hosts_file': '0.64%', '$s_sleep': '2.55%', '$s_shutdown': '5.73%', '$s_attrib': '3.82%', '$s_change_mouse_settings': '0.64%', '$n_maybe_time_change': '3.18%', '$s_erase': '1.91%', '$s_move': '1.27%', '$n_net': '1.91%', '$s_aes': '0.64%', '$n_reg': '7.01%', '$n_system': '1.27%', '$n_set': '5.1%', '$s_cscript': '0.64%', '$n_find': '3.82%', '$s_generic_bat_maybe_copy_itself': '3.18%', '$s_cpu_damage': '0.64%', '$n_goto': '7.64%', '$s_tskill': '1.91%', '$s_ren': '0.64%', '$s_mem': '0.64%', '$n_type': '4.46%', '$s_taskkill': '2.55%', '$n_exit': '5.73%', '$n_echo': '16.56%', '$s_infinite_loop': '1.27%', '$n_start': '6.37%', '$s_make_random_folders': '0.64%', '$n_bat_maybe_copy_itself': '5.73%', '$n_ipconfig': '1.27%', '$s_reg_add': '5.1%', '$n_del': '3.82%', '$n_copy': '3.82%'}
Number of files scanned: 157
رابط المشروع: https://github.com/Sh3llyR/statiStrings