checkpointsw/nodejs-tracerLaufzeit-Tracer für die Node.js-Malware-Analyse, der Kernmodule abfängt, Aufrufe protokolliert, Anti-Analyse-Prüfungen austrickst und Dateischreibvorgänge sowie HTTP-Anfragen erfasst.
Einfacher Node.jstracer, der Aufrufe von Kernmodulen protokolliert, bestimmte Aufrufe fälschen kann, um Anti-Analyse zu umgehen, von der Anwendung geschriebene Dateien speichert und mehr. Nützlich zur Analyse stark verschlüsselter Node.js-Malware.
node -r .\tracer.js main.js
Beispiel-Trace mit aktiviertem DISPLAY_STACK:
Passen Sie die Konstanten im Skript an, um die folgenden Optionen zu konfigurieren:
const DISPLAY_STACK = true // Display stack trace for each call
const SAVE_FILE_WRITES = true // Save files written by the application to the current working directory
const LOG_HTTP_REQUESTS = true // Log HTTP requests to requests.txt
const SKIP_SLEEPS = false // Skip calls to sleep and timers
const TRACE_ERRORS = false // Log errors, caught and uncaught
const IGNORED_APIS = [] // List of APIs that won't be hooked (e.g. ['path.normalize'])
Abhängig von der Malware müssen Sie möglicherweise die Anti-Anti-VM-Interception am Anfang des Skripts anpassen.
Implementiert derzeit die folgenden Anti-Anti-VM-Maßnahmen:
tasklist leer zurück (wenn Malware versucht, laufende Analysetools aufzulisten)