GReATs KLara-Projekt

Das KLara-Projekt soll Threat-Intelligence-Forschern dabei helfen, mithilfe von Yara nach neuer Malware zu suchen.

Um effizient nach Malware zu suchen, benötigt man eine große Sammlung von Samples, die durchsucht werden. Forscher müssen in der Regel eine Yara-Regel über eine Sammlung / einen Satz bösartiger Dateien laufen lassen und dann die Ergebnisse zurückerhalten. In manchen Fällen muss die Regel angepasst werden. Leider dauert das Scannen einer großen Sammlung von Dateien Zeit. Stattdessen kann das Scannen von 10 TB Dateien mit einer benutzerdefinierten Architektur etwa 30 Minuten dauern.

KLara, ein verteiltes System, das in Python geschrieben ist, ermöglicht es Forschern, eine oder mehrere Yara-Regeln über Sammlungen mit Samples zu scannen und per E-Mail sowie über die Weboberfläche Benachrichtigungen zu erhalten, wenn die Scanergebnisse bereit sind.

Funktionen

• Moderne Weboberfläche, die es Forschern ermöglicht, ihre Regeln nach dem Prinzip "Einrichten und vergessen" zu verwenden und Ergebnisse per E-Mail / API zurückzuerhalten.
• Leistungsstarke API, die automatische Yara-Job-Übermittlungen, Statusprüfungen und Rückmeldungen von Ergebnissen ermöglicht. Die API-Dokumentation wird in Kürze veröffentlicht.
• Verteiltes System, das auf handelsüblicher Hardware läuft und einfach bereitzustellen und zu implementieren ist.

Architektur

KLara nutzt die Leistungsfähigkeit von Yara aus und verteilt Scans mithilfe eines Dispatcher-Worker-Modells. Jeder Worker-Server verbindet sich mit einem Dispatcher, um zu prüfen, ob neue Jobs verfügbar sind. Wenn ein neuer Job verfügbar ist, prüft er, ob das erforderliche Scan-Repository auf dem eigenen Dateisystem vorhanden ist, und wenn dies der Fall ist, startet er den Yara-Scan mit den vom Forscher eingereichten Regeln.

Das Hauptproblem, das KLara zu lösen versucht, ist die Ausführung von Yara-Jobs über eine große Sammlung von Malware-Samples (> 1 TB) in einer angemessenen Zeit.

KLara installieren

Bitte beachten Sie die Anweisungen hier

======

Wenn Sie Probleme bei der Installation dieser Software haben, reichen Sie bitte einen Fehlerbericht ein.

Beitragen und Probleme melden

Jeder ist eingeladen, einen Beitrag zu leisten. Bitte reichen Sie einen Pull-Request ein, und unser Team wird ihn überprüfen.

Sie können uns in unserem Telegram-Kanal kontaktieren: #KLara

Der beste Weg, Fehler oder Probleme zu melden, ist die Nutzung der Github-Issues-Funktion.

Danksagungen

Das KLara-Team möchte sich bedanken bei

• Costin, Marco, Vitaly, Sergey
• Aktuelle, ehemalige und zukünftige GReAT-Mitglieder!
• Alex@grep
• Alle Mitwirkenden

für ihren großartigen Beitrag und ihre Ideen. Viel Erfolg bei der Jagd!