CrowdFMS

Copyright (C) 2013 CrowdStrike, Inc. Diese Datei unterliegt den Bedingungen der BSD-Lizenz. Siehe die Datei LICENSE im Hauptverzeichnis für Details

CrowdFMS ist ein Framework zur Automatisierung der Sammlung und Verarbeitung von Proben von VirusTotal, unter Nutzung des Private-API-Systems. Dieses Framework lädt automatisch aktuelle Proben herunter, die eine Benachrichtigung im YARA-Benachrichtigungsfeed ausgelöst haben.

Benutzer können auch einen Befehl angeben, der auf diesen neu heruntergeladenen Proben ausgeführt wird, basierend auf dem Namen der YARA-Regel. Beispielsweise kann ein Benutzer festlegen, dass alle Proben, die der YARA-Regel „Zeus“ entsprechen, automatisch an die Cuckoo-Sandbox übermittelt werden.

Python-Module:

• sqlite3
• shutil
• argparse
• requests
• re
• json
• requests

Bitte platzieren Sie Ihren API-Schlüssel entweder in .virustotal oder ~/.virustotal

Verwendung und Werkzeuge: crowdfms.py - Primäres Probe-Sammelsystem

sample_details - Details zu einer in der lokalen Datenbank gespeicherten Probe abrufen

• Verwendung: sample_details.py -f -HASH- # Hash kann entweder MD5, SHA1 oder SHA256 sein

fetch_file - Datei aus der Datenbank in das aktuelle Arbeitsverzeichnis kopieren

• Verwendung: fetch_file -f -HASH- # Hash kann entweder MD5, SHA1 oder SHA256 sein

add_action - Aktion hinzufügen, die bei Übereinstimmung einer neuen Probe mit einer Regel ausgeführt werden soll

• Verwendung: add_action -y -Yara-Regelname- -c -Auszuführender Befehl- # Auszuführender Befehl muss %s enthalten, wo der Probenpfad eingefügt werden soll

add_action - Aktion hinzufügen, die bei Übereinstimmung einer neuen Probe mit einer Regel ausgeführt werden soll

• Verwendung: add_action -y -Yara-Regelname- -c -Auszuführender Befehl- # Auszuführender Befehl muss %s enthalten, wo der Probenpfad eingefügt werden soll

list_actions - Alle Yara -> Übereinstimmungen auflisten

• Verwendung: list_actions