Automation FOrensics Tool

Das Automation FOrensics Tool (AFOT) ist ein in Python erstelltes Automatisierungstool, das für Windows-Forensiken verwendet wird, um die folgenden Tools zu kombinieren:

• AnalyzePESig (http://didierstevens.com/files/software/AnalyzePESig_V0_0_0_2.zip)
• National Software Reference Library reduced set (http://www.nsrl.nist.gov/RDS/rds_2.52/rds_252m.zip)
• NSRL Tool (http://didierstevens.com/files/software/nsrl_V0_0_2.zip)
• VirusTotal Search Tool (http://didierstevens.com/files/software/virustotal-search_V0_1_2.zip)

Anforderungen

Das Skript verwendet Python Version 2.7, wird aber höchstwahrscheinlich mit Python 3 funktionieren. Sie müssen PIP auf Ihrem System installiert haben. Weitere Informationen finden Sie in der Python-Dokumentation.

Sie sollten Ihren eigenen VirusTotal-API-Schlüssel haben. Erstellen Sie einfach ein Konto auf der VirusTotal-Website und holen Sie sich den API-Schlüssel. Fügen Sie ihn dann als Wert von __VIRUSTOTALAPIKEY__ hinzu.

Verwendung

Führen Sie einfach python afot.py in Ihrem Terminal aus.

Vorgehensweise

Das Vorgehen ist recht unkompliziert:

• Der Benutzer gibt den Pfad an, der verwendet wird, um alle ausführbaren Dateien in diesen Ordnern/Unterordnern zu analysieren.
• AnalyzePESig sucht nach signierten ausführbaren Dateien, deren Zertifikat bald widerrufen wird.
• AFOT sammelt alle nicht signierten ausführbaren Dateien und gleicht sie mit der Hashset-Datenbank von NSRL ab, unter Verwendung des NSRL-Tools.
• Zu guter Letzt, falls sich herausstellt, dass sich einige Hashes ebenfalls in der NSRL-Hashset-Datenbank befinden, gleichen wir diese Hashes mit VirusTotal ab, unter Verwendung des VirusTotal-Such-Tools.

Mitwirken

Weitere Informationen finden Sie unter CONTRIBUTING.

Lizenz

Die MIT-Lizenz (MIT). Weitere Informationen finden Sie in der Lizenzdatei.