mandiant/flare-fakenet-ngFakeNet-NG - Dynamisches Netzwerkanalyse-Tool der nächsten Generation
| ____/\ | |/ / ____| \ | | ____|__ __| | \ | |/ ____|
| |__ / \ | ' /| |__ | \| | |__ | |______| \| | | __
| __/ /\ \ | < | __| | . ` | __| | |______| . ` | | |_ |
| | / ____ \| . \| |____| |\ | |____ | | | |\ | |__| |
|_|/_/ \_\_|\_\______|_| \_|______| |_| |_| \_|\_____|
D O K U M E N T A T I O N
FakeNet-NG 3.5 ist ein dynamisches Netzwerkanalyse-Tool der nächsten Generation für Malware-Analysten und Penetrationstester. Es ist Open Source und für die neuesten Windows-Versionen (und Linux, für bestimmte Betriebsmodi) ausgelegt. FakeNet-NG basiert auf dem hervorragenden Fakenet-Tool, das von Andrew Honig und Michael Sikorski entwickelt wurde.
Das Tool ermöglicht es Ihnen, den gesamten oder bestimmten Netzwerkverkehr abzufangen und umzuleiten, während legitime Netzwerkdienste simuliert werden. Mit FakeNet-NG können Malware-Analysten schnell die Funktionalität von Malware identifizieren und Netzwerksignaturen erfassen. Penetrationstester und Bug-Hunter werden die konfigurierbare Abfang-Engine und das modulare Framework von FakeNet-NG als äußerst nützlich empfinden, wenn sie die spezifische Funktionalität von Anwendungen testen und Proof-of-Concepts prototypisieren.
Sie können FakeNet-NG auf verschiedene Arten installieren. Beachten Sie, dass die folgenden Installationsprozesse Bibliotheken von Drittanbietern (Open Source) abrufen, die von FakeNet-NG verwendet werden, und auf Ihr System herunterladen. Diese Bibliotheken werden zur Laufzeit dynamisch geladen, und einige dieser Bibliotheken können unter der LGPL lizenziert sein.
Am einfachsten ist es, die kompilierte Version herunterzuladen, die von der Releases-Seite bezogen werden kann:
https://github.com/mandiant/flare-fakenet-ng/releases
Führen Sie FakeNet-NG aus, indem Sie 'fakenet.exe' starten.
Dies ist die bevorzugte Methode zur Verwendung von FakeNet-NG unter Windows, da sie keine Installation zusätzlicher Module erfordert, was ideal für eine Malware-Analysemaschine ist.
HINWEIS: FakeNet-NG kann von Antiviren- (AV) und Endpoint Detection and Response (EDR) -Lösungen (z. B. Windows Defender, Chrome Safe Browsing) als bösartig eingestuft werden. Dies liegt wahrscheinlich an seiner Fähigkeit, Netzwerkverkehr zu modifizieren und Netzwerkdienste zu simulieren, sowie an der Verwendung von PyInstaller zur Erstellung der Release-ausführbaren Dateien. Die offiziellen Release-Binärdateien sind sicher, und diese Erkennungen sollten als Fehlalarme betrachtet werden. Zur Erinnerung: FakeNet-NG ist für den Einsatz in einer kontrollierten und isolierten Umgebung, wie z. B. einer virtuellen Maschine (VM), konzipiert und wird dringend empfohlen, wo es sicher die Netzwerkeinstellungen des Systems ändern kann.
Installieren Sie Python 3.10.11 und die neueste pip für Windows/Linux-Betriebssysteme.
Unter Windows laden Sie die Visual C++ Build Tools herunter und installieren Sie diese.
Die Installation unter Linux erfordert die folgenden Abhängigkeiten:
Installieren Sie diese Abhängigkeiten mit dem folgenden Befehl:
sudo apt-get install build-essential python3.10-dev libnetfilter-queue-dev
Installieren Sie FakeNet-NG als Python-Modul mit pip:
python -m pip install https://github.com/mandiant/flare-fakenet-ng/zipball/master
Oder laden Sie den neuesten Quellcode herunter und installieren Sie ihn manuell:
git clone https://github.com/mandiant/flare-fakenet-ng/
Installieren Sie die Python-Abhängigkeiten, indem Sie die folgenden Befehle mit Administratorrechten ausführen:
Unter Linux (getestet unter Ubuntu 24.04.2 LTS) führen Sie die folgenden Befehle vor der Ausführung von setup.py aus:
python -m pip install --upgrade setuptools
# wheel für Python 3.10 erstellen
python -m pip install --force-reinstall netifaces
# Bei Tests wurde ein "ModuleNotFoundError: No module named '_cffi_backend'"-Fehler beobachtet
# Dadurch wird die erforderliche Version der cffi-Pakete für die Kryptografie installiert
python -m pip install --upgrade cryptography
Wenn Sie manuell installieren, wechseln Sie in das heruntergeladene Verzeichnis flare-fakenet-ng und führen Sie Folgendes mit Administratorrechten aus:
python setup.py install
Unter Linux: Geben Sie Port 53 für den DNS-Listener frei:
sudo systemctl stop systemd-resolved
Führen Sie FakeNet-NG in einer privilegierten Shell von einem beliebigen Verzeichnis aus mit 'fakenet' aus.
Wenn Sie schließlich eine Installation von FakeNet-NG vermeiden und es einfach so ausführen möchten (z. B. für die Entwicklung), dann müssen Sie den Quellcode herunterladen und die Abhängigkeiten wie folgt installieren:
Installieren Sie 64-Bit- oder 32-Bit- Python 3.10.11 für die 64-Bit- bzw. 32-Bit-Versionen von Windows/Linux.
Unter Windows installieren Sie die Python-Abhängigkeiten, indem Sie die folgenden Befehle mit Administratorrechten ausführen:
python -m pip install pydivert dnslib dpkt pyopenssl pyftpdlib netifaces jinja2
HINWEIS: pydivert lädt auch die WinDivert-Bibliothek und den Treiber in das Verzeichnis %PYTHONHOME%\DLLs herunter und installiert sie. FakeNet-NG bündelt diese Dateien, sodass sie für den normalen Gebrauch nicht erforderlich sind.
Unter Linux installieren Sie die Python-Abhängigkeiten, indem Sie die folgenden Befehle mit Administratorrechten ausführen:
python -m pip install --upgrade setuptools
# wheel für Python 3.10 erstellen
python -m pip install --force-reinstall netifaces
# Bei Tests wurde ein "ModuleNotFoundError: No module named '_cffi_backend'"-Fehler beobachtet
# Dadurch wird die erforderliche Version der cffi-Pakete für die Kryptografie installiert
python -m pip install --upgrade cryptography
python -m pip install netfilterqueue dnslib dpkt pyopenssl pyftpdlib netifaces jinja2
Optional können Sie das folgende Modul installieren, das zum Testen verwendet wird:
python -m pip install requests
Laden Sie den Quellcode von FakeNet-NG herunter:
git clone https://github.com/mandiant/flare-fakenet-ng
Unter Linux: Geben Sie Port 53 für den DNS-Listener frei:
sudo systemctl stop systemd-resolved
Führen Sie FakeNet-NG in einer privilegierten Shell mit einem Python-Interpreter aus:
python -m fakenet.fakenet
Der einfachste Weg, FakeNet-NG auszuführen, besteht darin, die bereitgestellte ausführbare Datei einfach als Administrator auszuführen. Sie können den --help-Befehlszeilenparameter verwenden, um eine einfache Hilfe zu erhalten: