circl/factual-rules-generatorErzeugt YARA-Regeln aus installierter Software auf einem laufenden Betriebssystem, um eine Basislinie bekannter Software zu erstellen und ähnliche Installationen in digitalen forensischen Beweismitteln zu finden.
Factual-rules-generator ist ein Open-Source-Projekt, das darauf abzielt, YARA-Regeln über installierte Software aus einem laufenden Betriebssystem zu generieren.
Das Ziel der Software ist es, einen Satz von Regeln gegen gesammelte oder erworbene digitale forensische Beweise anwenden zu können und installierte Software zeitnah zu finden.
Die Software kann verwendet werden, um eine Basislinie bekannter Software von einem Windows-System zu erstellen und einen Regelsatz zu generieren, um ähnliche Installationen auf anderen Systemen zu finden.
pefile
psutil
ndjson
python-tlsh
PyInstaller (um client.py in client.exe zu ändern)
ssdeep
sudo apt-get install build-essential libffi-dev python3 python3-dev python3-pip libfuzzy-devpip install ssdeepEinige Werkzeuge werden auf dem Host-Betriebssystem benötigt, einige sind Unix-Standardwerkzeuge und einige zusätzliche:
Für die Windows-VM muss die folgende Software installiert sein:
bin/OnWindows/Varclient.py.bin/OnWindows/client.py in eine ausführbare Datei mit PyInstaller und legen Sie sie in den Autostart-Ordner.etc/allVariables.py, um Ihrer gewünschten Konfiguration zu entsprechen.In test/ werden einige Beispiele für zu installierende Software gegeben. Das folgende spezifische Format ist erforderlich:
:, oder den Namen der Datei im Falle von MSI- oder EXE-Dateien.: steht der Name der EXE-Datei zum Extrahieren und Ausführen (ohne Erweiterung)., folgt dem gleichen System mit dem Wort installer zuerst und nach : dem Installer-Typ:
uninstaller gefolgt von : und dem Deinstaller wie choco, msiexec oder exe.bin/Generator.py ist das einzige Skript, das ausgeführt werden muss. Vergessen Sie nicht, etc/allVariables.py zu aktualisieren (entscheidender Schritt).
Factual-rules-generator ist ein Open-Source-Projekt, das darauf abzielt, YARA-Regeln über installierte Software von einem Rechner zu generieren.
Copyright (C) 2021-2022 David Cruciani
Copyright (C) 2021-2022 CIRCL - Computer Incident Response Center Luxembourg
Dieses Programm ist freie Software: Sie können es unter den Bedingungen der GNU Affero General Public License, wie von der Free Software Foundation veröffentlicht, weitergeben und/oder modifizieren, entweder in Version 3 der Lizenz oder (nach Ihrer Wahl) jeder späteren Version.
Dieses Programm wird in der Hoffnung verbreitet, dass es nützlich sein wird, aber OHNE JEGLICHE GEWÄHRLEISTUNG; ohne sogar die implizite Gewährleistung der MARKTGÄNGIGKEIT oder EIGNUNG FÜR EINEN BESTIMMTEN ZWECK. Weitere Details finden Sie in der GNU Affero General Public License.
Sie sollten eine Kopie der GNU Affero General Public License zusammen mit diesem Programm erhalten haben. Wenn nicht, siehe <http://www.gnu.org/licenses/>.