pegasus-malware-scan

الوصف

Pegasus Malware Scan هو حل شامل للأمن السيبراني مصمم للكشف المتقدم عن التهديدات وتحليل البرامج الضارة. مبني بلغة Python، تستخدم هذه الأداة القوية تقنيات كشف متعددة الطبقات لتحديد وتحييد مجموعة واسعة من البرامج الضارة، بدءًا من الفيروسات الشائعة وصولاً إلى التهديدات المستمرة المتقدمة (APTs).

ما هو Pegasus Malware Scan؟

يمثل Pegasus Malware Scan الجيل التالي من أدوات الكشف عن البرامج الضارة، حيث يجمع بين التحقق التقليدي القائم على الهاش مع التحليل السلوكي الحديث وقدرات التعلم الآلي. على عكس حلول مكافحة الفيروسات التقليدية التي تعتمد بشكل أساسي على الكشف القائم على التواقيع، يطبق Pegasus نهجًا هجينًا يمكنه تحديد كل من التهديدات المعروفة والبرامج الضارة غير المكتشفة سابقًا من خلال الكشف عن الحالات الشاذة.

المزايا الرئيسية

• خفيف الوزن لكن قوي: كود مُحسَّن يضمن استخدامًا ضئيلًا لموارد النظام مع الحفاظ على حماية شاملة
• كشف متعدد الطبقات: يجمع بين طرق كشف متعددة لتحقيق أقصى فعالية ضد التهديدات المتنوعة
• جاهز للمؤسسات: يتوسع من الأنظمة الفردية إلى عمليات النشر الكبيرة للمؤسسات مع إدارة مركزية
• قابل للتخصيص: قابل للتكوين بشكل كبير لتلبية متطلبات أمنية محددة في بيئات مختلفة
• بنية مفتوحة: مصمم للتكامل مع البنية التحتية والأدوات الأمنية الحالية

حالات الاستخدام

• الاستجابة للحوادث: فحص سريع للأنظمة أثناء الحوادث الأمنية النشطة لتحديد وجود البرامج الضارة
• التحقيق الرقمي الجنائي: تحليل الملفات والأنظمة المشبوهة لجمع الأدلة للتحقيقات الأمنية
• تعزيز أمان النظام: إجراء فحوصات شاملة لضمان سلامة النظام قبل النشر
• المراقبة المستمرة: تنفيذ حماية مستمرة ضد التهديدات المتطورة في الأنظمة الحرجة
• البحث الأمني: المساعدة في تحليل البرامج الضارة والبحث من خلال قدرات فحص مفصلة

المواصفات الفنية

• اللغة: مبني بلغة Python 3.6+ للتوافق عبر المنصات
• قاعدة البيانات: يستخدم قواعد بيانات NoSQL محسّنة لتخزين معلومات استخبارات التهديدات
• متطلبات النظام:
  • الحد الأدنى: 2 جيجابايت رام، 500 ميجابايت مساحة تخزين، معالج أحادي النواة
  • الموصى به: 4 جيجابايت رام، 1 جيجابايت مساحة تخزين، معالج متعدد النواة
• أنظمة التشغيل المدعومة: Windows, macOS, Linux (Ubuntu, CentOS, Debian)
• التكامل عبر API: واجهة برمجة تطبيقات RESTful للتكامل مع أدوات الأمان الأخرى
• الحاويات: دعم Docker لسهولة النشر والتوسع

بنية النظام

يستخدم Pegasus Malware Scan بنية معيارية تتكون من عدة مكونات أساسية:

1. محرك الفحص: المكون الأساسي المسؤول عن تحليل الملفات باستخدام طرق كشف متنوعة
2. وحدة استخبارات التهديدات: يحافظ على قاعدة بيانات محدثة للتهديدات المعروفة ومؤشرات الاختراق
3. النظام الفرعي للتحليل السلوكي: ينفذ ويراقب الملفات المشبوهة في بيئة معزولة (sandbox)
4. نظام الإبلاغ والتنبيه: يولد تقارير مفصلة ويرسل إشعارات حول التهديدات المكتشفة
5. وحدة التحكم الإدارية: توفر واجهة موحدة للتكوين والمراقبة
6. طبقة التكامل: تسهل التواصل مع الأنظمة والأدوات الأمنية الخارجية

يسمح التصميم المعياري بتحديثات سهلة وتوسيع الوظائف دون الحاجة إلى إجراء تغييرات على النظام الأساسي.

سيناريوهات النشر

يدعم Pegasus Malware Scan سيناريوهات نشر متعددة لتلبية احتياجات المؤسسات المختلفة:

• النشر المستقل: التثبيت مباشرة على نقاط النهاية الفردية للحماية المستقلة
• نموذج خادم-عميل: خادم إدارة مركزي مع وكلاء خفيفين منشورين على نقاط النهاية
• النشر السحابي: نموذج SaaS مع إدارة وتحليلات مستضافة سحابيًا
• النشر المختلط: مزيج من المكونات المحلية والسحابية لتحقيق الأداء الأمثل
• الشبكات المعزولة: خيارات نشر خاصة للبيئات عالية الأمان والمعزولة

الامتثال الأمني والمعايير

صُمم Pegasus Malware Scan لمساعدة المؤسسات على تلبية متطلبات الامتثال الأمني عبر أطر متعددة:

• يدعم الامتثال لـ GDPR و HIPAA و PCI DSS وإطار الأمن السيبراني NIST
• يتبع أفضل ممارسات أمان OWASP للتطوير الآمن
• ينفذ ممارسات التعامل السليمة مع البيانات للمعلومات الحساسة
• يوفر سجلات تدقيق مناسبة لتقارير الامتثال
• يتم تحديثه بانتظام لمعالجة المعايير الأمنية الناشئة

ملاحظات المشروع الأصلي

• ماسح ضوئي بسيط جدًا للبرامج الضارة يعتمد على مقارنة الهاش
• في بعض الأحيان قد تكون هناك حاجة إليه أثناء الاستجابة للحوادث.
• إذا وجدت ملفات جديدة أو مشبوهة أثناء الاستجابة، فقد ترغب في التحقق من وجود هذه الملفات في الأنظمة. لذلك قد تحتاج إلى أداة كهذه. هذه نسخة تجريبية. غير مكتملة. يجب تغيير الكود وتعديله وجعله خاصًا بك.
• أخبرني إذا كانت هناك حاجة إلى أي تغييرات أو ميزات إضافية.
• واضغط على "النجوم" إذا كان ذلك مفيدًا. عندها سيستمر التحسين.

المؤلف

• Letda Kes dr. محمد صبري مولانا، S.Kom, CEH, OSCP, OSCE
• GitHub: github.com/sobri3195
• البريد الإلكتروني: [email protected]

التبرع

ادعم هذا المشروع: https://lynk.id/muhsobrimaulana

الميزات

قدرات الفحص الأساسية

• فحص الملفات بناءً على الهاش (هاشات البرامج الضارة المجانية): يستخدم قواعد بيانات هاش البرامج الضارة المجانية لتحديد الملفات الضارة المعروفة من خلال مقارنة هاشاتها التشفيرية دون الحاجة إلى الكشف القائم على التواقيع.
• الفحص يشمل المجلدات الفرعية: يتنقل تلقائيًا ويفحص جميع المجلدات الفرعية داخل المسار المستهدف لتغطية شاملة لأنظمة الملفات.
• مهام متعددة الخيوط: يستخدم المعالجة المتوازية لفحص ملفات متعددة في وقت واحد، مما يقلل بشكل كبير من وقت الفحص الإجمالي على الأنظمة ذات النوى المتعددة.
• تحديد امتدادات الملفات المراد فحصها: يسمح للمستخدمين بتخصيص أنواع الملفات التي سيتم فحصها، مع تركيز الموارد على تنسيقات الملفات القابلة للتنفيذ أو الخطيرة.
• تحديد المجلدات التي لا يجوز فحصها: يتيح استبعاد مجلدات محددة لمنع الفحص في المناطق الحساسة أو لتحسين الأداء.

التكامل وإعداد التقارير

• سهولة إرفاق سجلات الفحص بـ SIEM (مثل Splunk): يولد سجلات بتنسيق يمكن استيعابه مباشرة بواسطة أنظمة إدارة المعلومات والأحداث الأمنية للمراقبة المركزية.
• تصدير نتائج الفحص بتنسيقات متعددة (CSV, JSON, XML): يدعم تنسيقات تصدير متنوعة للتكامل مع أدوات التحليل المختلفة وأنظمة التقارير.
• إشعارات البريد الإلكتروني للتهديدات المكتشفة: يرسل تلقائيًا تنبيهات عند اكتشاف ملفات ضارة، مما يضمن الإدراك الفوري للحوادث الأمنية.
• لوحة تحليلات وتقارير مفصلة للتهديدات: يوفر تصورات ومقاييس شاملة لنتائج الفحص وتوزيع التهديدات وحالة أمان النظام.

ميزات الكشف المتقدمة

• قدرة الفحص في الوقت الفعلي للمراقبة النشطة: يراقب باستمرار أنشطة نظام الملفات لاكتشاف التهديدات عند ظهورها دون انتظار عمليات الفحص المجدولة.
• التكامل مع منصات استخبارات التهديدات السحابية: يتصل بخدمات استخبارات التهديدات الخارجية لتعزيز قدرات الكشف بمعلومات محدثة.
• التحليل السلوكي للملفات المشبوهة: يفحص كيفية تصرف الملفات عند تنفيذها في بيئة خاضعة للرقابة لتحديد الأنماط الضارة التي قد يفوتها التحليل الثابت.
• التنفيذ في بيئة معزولة (sandbox) للملفات غير المعروفة: يشغل الملفات المشبوهة في بيئة معزولة لمراقبة سلوكها بأمان وتحديد ما إذا كانت ضارة.
• فحص الذاكرة للكشف عن البرامج الضارة عديمة الملفات (fileless): يحدد البرامج الضارة التي تعمل فقط في الذاكرة دون كتابة ملفات على القرص، مما يكشف التهديدات المتقدمة التي تتجنب الفحص التقليدي.
• فحص السجل (Registry) لأنظمة Windows: يفحص سجل Windows بحثًا عن إدخالات مشبوهة قد تشير إلى آليات استمرارية البرامج الضارة.
• تحديد عائلة البرامج الضارة وتصنيفها: يصنف البرامج الضارة المكتشفة إلى عائلات لتوفير سياق حول التهديد وقدراته وتأثيراته المحتملة.

ميزات الإدارة

• سهولة التعامل مع هيكل الكود/الوظائف وقابلية التغيير: مصمم بهندسة معيارية تسمح بتخصيص وتوسيع الوظائف بسهولة.
• الفحص المجدول بتردد قابل للتخصيص: يسمح للمستخدمين بإعداد عمليات فحص متكررة بفترات زمنية مفضلة (كل ساعة، يوميًا، أسبوعيًا) للحفاظ على أمان النظام.
• الفحص عن بُعد للأجهزة المتصلة بالشبكة: يوسع قدرات الفحص عبر الشبكة لحماية جميع الأجهزة المتصلة من نقطة إدارة مركزية.
• فحص ومراقبة أجهزة USB: يكتشف ويفحص أجهزة USB تلقائيًا عند توصيلها لمنع إدخال البرامج الضارة عبر الوسائط القابلة للإزالة.
• قدرات العزل (quarantine) للنظام للملفات المصابة: يعزل البرامج الضارة المكتشفة بأمان لمنع التنفيذ والانتشار مع السماح بإجراء مزيد من التحليل.
• سياسات فحص قابلة للتخصيص وإجراءات استجابة للتهديدات: تمكن المسؤولين من تعريف كيفية استجابة النظام لأنواع التهديدات المختلفة، بدءًا من التنبيه وصولاً إلى الإصلاح التلقائي.

الإصدار v1.0.5

• https://github.com/sobri3195/pegasus-malware-scan/blob/main/CHANGES

معاينة

سجل نتائج الفحص

• datetime, scan_id, os, hostname, ip, file, hash,

datetime="2022-12-23 13:52:45",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\chrome.exe",sha256="45de9f5a25bf478c6a8d8625a984895c9b3fdea6eb12a55ddd088dcebd9df5ab",created_at="2022-05-02 21:33:38",modified_at="2022-04-14 06:17:04"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineLauncher.exe",sha256="60fd9ceac8d1c40e835d3dc9aa77599d3f810a646199ecbdcb8003521ce7d502",created_at="2022-05-10 12:38:18",modified_at="2022-03-10 18:00:10"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineUpdater.exe",sha256="6b663f9f7bf3b6c1a2ce898b2402b691fff6dced36e9b0196e152bbfc409db42",created_at="2022-05-10 12:38:22",modified_at="2022-04-06 10:06:28"
datetime="2022-12-23 13:52:47",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\PCHunter32.exe",sha256="0544b99c52d607712d70351c6d9afb1fba6adb0de256baf662f06fdf6058aa3d",created_at="2022-05-10 11:36:04",modified_at="2017-08-14 02:27:08"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\report.xlsx",sha256="dd1dc1cb4ffa3e1b91f00496436416807f6153d53ac45e67ce1287c842bd5e3e",created_at="2022-04-27 23:53:33",modified_at="2021-09-07 10:52:40"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\TWOD_Launcher.exe",sha256="1d55ab0a703f2b8f5cc0d3cc93bedf7c03799b2b3e42defc83c175da8a125962",created_at="2022-04-27 23:54:50",modified_at="2022-04-07 09:14:08"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\unins000.exe",sha256="2da3b504c2b68219c0b4c6f062867dae091560c3f1e0735f1a7b17b1d79b5a90",created_at="2022-04-27 23:54:53",modified_at="2022-04-26 12:19:01"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\vmware-view.exe",sha256="17b21902170784d460fd0168e08f6e2075d6eb0a501093bc35184c550d73b5d8",created_at="2022-05-10 12:38:38",modified_at="2020-07-07 18:08:06"