IRFuzz - Einfacher Scanner mit Yara-Regeln

IRFuzz ist ein einfacher Scanner mit Yara-Regeln für Dokumentenarchive oder beliebige Dateien.

Installation

1. Voraussetzungen

Linux oder macOS

• Yara: Verwenden Sie einfach den Quellcode der neuesten Version, kompilieren und installieren Sie ihn (oder installieren Sie ihn via pip install yara-python)
• Yara-Regeln - Sie können hier Yara-Regeln herunterladen oder Ihr eigenes benutzerdefiniertes Regelset importieren.
• Python-Abhängigkeiten

Die Abhängigkeiten werden mit pipenv verwaltet. Installieren Sie die Abhängigkeiten und aktivieren Sie die virtuelle Umgebung mit den folgenden Befehlen:

$ pipenv install

$ pipenv shell

Ausführen von IRFuzz - Watchd

IRFuzz ausführen

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

Unterstützte Funktionen

• Scannt neue Dateien mit inotify
• Polling, falls inotify nicht unterstützt wird
• Benutzerdefinierte Erweiterungen werden unterstützt
• Der Löschmodus löscht die übereinstimmende Datei
• Rekursiver Verzeichnisscan
• Listet übereinstimmende Yara-Funktionen mit yarastrings und ctime auf
• CSV-Ergebnisse für Filebeat

Benutzerdefinierte Erweiterungen

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

Alarm bei Übereinstimmung mit Yara-Regel

Token von https://irfuzz.com/tokens generieren

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

Konfigurieren Sie Warnungen von der Website per Telegram oder Ihrer E-Mail.

Übereinstimmende Datei löschen

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

Polling (inotify nicht unterstützt)

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

Fügt die Option --poll hinzu, um die Verwendung des Polling-Mechanismus zur Erkennung von Änderungen im Datenverzeichnis zu erzwingen. Polling ist langsamer als der zugrunde liegende Mechanismus des Betriebssystems zur Erkennung von Änderungen, aber es ist bei bestimmten Dateisystemen wie SMB-Mounts erforderlich.

Standard-Erweiterungen, falls keine Erweiterungen angegeben sind.

Von Microsoft Office Word unterstützte Dateiformate

.doc .docm .docx .docx .dot .dotm .dotx .odt

Von Microsoft Office Excel unterstützte Dateiformate

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

Von Microsoft Office PowerPoint unterstützte Dateiformate

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

IRFuzz verwendet zipdump.py für die Analyse von ZIP-Dateien.