munin

 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

Online-Hash-Checker für Virustotal und andere Dienste
Florian Roth

Was ist Munin?

Munin ist ein Online-Hash-Checker, der wertvolle Informationen aus verschiedenen Online-Quellen abruft.

Die aktuelle Version von Munin fragt die folgenden Dienste ab:

• Virustotal
• HybridAnalysis
• Any.Run
• URLhaus
• MISP
• CAPE
• Malshare
• Valhalla
• Hashlookup

Screenshot

Standardmodus – Hashes aus Datei lesen

Verwendung

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Online-Hash-Checker

optionale Argumente:
  -h, --help            Zeigt diese Hilfemeldung an und beendet das Programm
  -f path               Zu verarbeitende Datei (Hash zeilenweise ODER CSV mit Hash
                        in jeder Zeile – erkennt Position und Kommentar automatisch)
  --vh search-string    Valhalla nach Hashes durchsuchen nach Schlüsselwort, Tags,
                        YARA-Regelname, Mitre ATT&CK-Software (z. B. S0154),
                        Technik (z. B. T1023) oder Bedrohungsgruppe (z. B. G0049)
  --vhrule search-string
                        Valhalla nach Hashes über Regeln durchsuchen nach Schlüsselwort,
                        Tags, YARA-Regelname, Mitre ATT&CK-Software (z. B.
                        S0154), Technik (z. B. T1023) oder Bedrohungsgruppe
                        (z. B. G0049)
  -o output             Ausgabedatei für Ergebnisse (CSV)
  --vtwaitquota         Nicht fortsetzen, wenn VT-Kontingent überschritten ist, sondern
                        auf den nächsten Tag warten
  --vtminav min-matches
                        Minimale Anzahl von AV-Treffern, um Hash-Info von VT abzufragen
  --limit hash-limit    Beenden nach Verarbeitung dieser vielen neuen Hashes im Batch-
                        Modus (Cache ignoriert).
  --vhmaxage days       Maximales Alter des Samples auf Valhalla, das verarbeitet werden soll
  -c cache-db           Name der Cache-Datenbankdatei (Standard: vt-hash-
                        db.json)
  -i ini-file           Name der INI-Datei, die die API-Schlüssel enthält
  -s sample-folder      Ordner mit zu verarbeitenden Samples
  --comment             Postet einen Kommentar für den analysierten Hash, der den
                        Kommentar aus der Log-Zeile enthält
  -p vt-comment-prefix  Virustotal-Kommentar-Präfix
  --download            Aktiviert Sample-Download von Hybrid Analysis.
                        SHA256 des Samples erforderlich.
  -d download_path      Ausgabepfad für Sample-Download von Hybrid
                        Analysis. Ordner muss existieren
  --nocache             Cache-Datenbankdatei nicht verwenden
  --nocsv               Keine CSV mit den Ergebnissen schreiben
  --verifycert          SSL/TLS-Zertifikate überprüfen
  --sort                Die Eingabezeilen sortieren
  --web                 Munin als Webdienst ausführen
  -w port               Webdienst-Port
  --cli                 Munin im Kommandozeilen-Interface-Modus ausführen
  --rescan              Ein erneutes Scannen jeder analysierten Datei auslösen
  --debug               Debug-Ausgabe

Funktionen

• Ruft wertvolle Informationen von Virustotal über die API (JSON-Antwort) und andere Informationen über Permalink (HTML-Parsing) ab
• Ruft zusätzliche Informationen von einer Liste von Plattformen ab
• Führt eine Historie (Cache), um die Dienste nur einmal für einen Hash abzufragen, der möglicherweise mehrfach in der Textdatei vorkommt
• Cache-Objekte werden in JSON gespeichert
• Erstellt CSV-Datei mit den Ergebnissen für einfache Nachbearbeitung und Berichterstellung
• Hängt Ergebnisse an eine vorhandene CSV an, falls verfügbar

Anzeigen

• Hash und Kommentar (Kommentar ist der Rest der Zeile, aus der der Hash extrahiert wurde)
• AV-Anbieter-Treffer basierend auf einer benutzerdefinierten Liste
• Dateinamen, die im Umlauf verwendet wurden
• PE-Informationen wie Beschreibung, ursprünglicher Dateiname und Copyright-Hinweis
• Signierer einer signierten portablen ausführbaren Datei
• Ergebnis basierend auf dem Virustotal-Verhältnis
• Erste und letzte Einreichung
• Tags für bestimmte Indikatoren: Harmlos, Signiert, Abgelaufen, Widerrufen, MSSoftware

Zusätzliche Prüfungen

• Fragt Malshare.com nach Sample-Uploads ab
• Fragt Hybrid-Analysis.com nach Berichten ab
• Fragt mehrere MISP-Instanzen nach verfügbaren Ereignissen ab
• Fragt die Any.run-Sandbox nach Berichten ab
• Fragt die CAPE-Sandbox nach Berichten ab
• Fragt URLhaus nach Berichten ab
• Fragt Malshare nach verfügbaren Samples ab
• Fragt Valhalla nach YARA-Regel-Treffern ab
• Imphash-Duplikate im aktuellen Batch – ermöglicht das Erkennen von Überschneidungen in Importtabellen-Hashes
• PE-Signatur-Duplikatprüfungen

Betriebsmodi

1. Standard – durch Angabe einer Eingabedatei (-f) mit Hashes oder eines Sample-Verzeichnisses (-s)
2. Abfrage – Hashes aus Valhalla nach Schlüsselwort, Tags, ATT&CK-Technik (z. B. T1023), ATT&CK-Bedrohungsgruppe (z. B. G0049) oder Regelname durchsuchen (-q)
3. Kommandozeilen-Interface – mit dem Parameter --cli
4. Webdienst-Modus – mit dem Parameter --web

Erste Schritte

1. Das Repository herunterladen / klonen
2. Erforderliche Pakete installieren: pip3 install -r requirements.txt (unter macOS --user hinzufügen)
3. Die API-Schlüssel für die verschiedenen Dienste in Ihrer benutzerdefinierten INI-Datei festlegen: cp munin.ini my.ini (siehe Abschnitt API-Schlüssel abrufen für Hilfe)
4. Die Demodatei für einen ersten Lauf verwenden: python munin.py -i my.ini -f munin-demo.txt

Anforderungen

• Python 3.7 und höher
• Internetverbindung (Proxy-Unterstützung; SSL/TLS-Interception kann problematisch sein)

Typische Befehlszeilen

Ein Virustotal Retrohunt-Ergebnis verarbeiten und die Zeilen vor der Prüfung sortieren, sodass übereinstimmende Signaturen in Blöcken geprüft werden

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

Ein Verzeichnis mit Samples verarbeiten und deren Hashes online prüfen

python3 munin.py -i my.ini -s ~/malware/case34

Den Kommandozeilen-Interface-Modus verwenden (neu in v0.14)

python3 munin.py -i my.ini

API-Schlüssel abrufen

Virustotal

1. Ein Konto erstellen unter https://www.virustotal.com/#/join-us
2. Unter Profil > Mein API-Schlüssel Ihren öffentlichen API-Schlüssel prüfen

MalShare

Hier registrieren: https://malshare.com/register.php

Malware Bazaar