Anwendungsfälle

• Vorfallreaktion: Schnelles Scannen von Systemen während aktiver Sicherheitsvorfälle, um Malware-Präsenz zu identifizieren.
• Digitale Forensik: Analyse verdächtiger Dateien und Systeme, um Beweise für Sicherheitsuntersuchungen zu sammeln.
• Systemhärtung: Durchführung umfassender Scans, um die Systemintegrität vor der Bereitstellung sicherzustellen.
• Kontinuierliche Überwachung: Implementierung fortlaufender Schutzmaßnahmen gegen sich entwickelnde Bedrohungen in kritischen Systemen.
• Sicherheitsforschung: Unterstützung bei Malware-Analyse und Forschung mit detaillierten Scan-Fähigkeiten.

Technische Spezifikationen

• Sprache: Mit Python 3.6+ für plattformübergreifende Kompatibilität entwickelt.
• Datenbank: Verwendet optimierte NoSQL-Datenbanken für die Speicherung von Bedrohungsinformationen.
• Systemanforderungen:
  • Minimum: 2 GB RAM, 500 MB Festplattenspeicher, Einzelkernprozessor
  • Empfohlen: 4 GB RAM, 1 GB Festplattenspeicher, Mehrkernprozessor
• Plattformunterstützung: Windows, macOS, Linux (Ubuntu, CentOS, Debian)
• API-Integration: RESTful-API für die Integration mit anderen Sicherheitstools.
• Container: Docker-Unterstützung für einfache Bereitstellung und Skalierung.

Systemarchitektur

Pegasus Malware Scan verwendet eine modulare Architektur, die aus mehreren Kernkomponenten besteht:

1. Scan-Engine: Die Hauptkomponente für die Dateianalyse mit verschiedenen Erkennungsmethoden.
2. Bedrohungsinformationsmodul: Pflegt eine aktualisierte Datenbank bekannter Bedrohungen und Indikatoren für Kompromittierungen.
3. Teilsystem zur Verhaltensanalyse: Führt verdächtige Dateien in einer Sandbox-Umgebung aus und überwacht sie.
4. Berichts- und Benachrichtigungssystem: Erstellt detaillierte Berichte und sendet Benachrichtigungen über erkannte Bedrohungen.
5. Verwaltungskonsole: Bietet eine einheitliche Oberfläche für Konfiguration und Überwachung.
6. Integrationsschicht: Ermöglicht die Kommunikation mit externen Systemen und Sicherheitstools.

Das modulare Design ermöglicht einfache Updates und Erweiterungen der Funktionalität, ohne dass Änderungen am Kernsystem erforderlich sind.

Bereitstellungsszenarien

Pegasus Malware Scan unterstützt mehrere Bereitstellungsszenarien, um unterschiedlichen organisatorischen Anforderungen gerecht zu werden:

• Standalone-Bereitstellung: Direkte Installation auf einzelnen Endpunkten für unabhängigen Schutz.
• Client-Server-Modell: Zentraler Verwaltungsserver mit leichtgewichtigen Agents auf den Endpunkten.
• Cloud-basierte Bereitstellung: SaaS-Modell mit cloud-gehosteter Verwaltung und Analysen.
• Hybride Bereitstellung: Kombination aus lokalen und Cloud-Komponenten für optimale Leistung.
• Luftspaltnetzwerke: Spezielle Bereitstellungsoptionen für isolierte Hochsicherheitsumgebungen.

Sicherheits-Compliance & Standards

Pegasus Malware Scan wurde entwickelt, um Organisationen bei der Erfüllung von Sicherheits-Compliance-Anforderungen in mehreren Frameworks zu unterstützen:

• Unterstützt die Einhaltung von GDPR, HIPAA, PCI DSS und dem NIST Cybersecurity Framework.
• Befolgt OWASP-Sicherheitsbest Practices für sichere Entwicklung.
• Implementiert angemessene Datenverarbeitungspraktiken für sensible Informationen.
• Stellt Prüfpfade (Audit Trails) bereit, die für Compliance-Berichte geeignet sind.
• Regelmäßig aktualisiert, um neuen Sicherheitsstandards gerecht zu werden.

Ursprüngliche Projektnotizen

• Sehr einfacher Malware-Scanner per Hash-Vergleich.
• Manchmal kann dies bei einer Vorfallreaktion erforderlich sein.
• Wenn Sie bei einer Reaktion neue oder verdächtige Dateien finden, möchten Sie überprüfen, wo diese Dateien in Systemen vorhanden sind. Dann benötigen Sie möglicherweise ein solches Tool. Dies ist eine Demoversion, nicht vollständig. Sie müssen den Code ändern und anpassen und zu Ihrem eigenen machen.
• Lassen Sie mich wissen, ob Änderungen erforderlich sind oder zusätzliche Funktionen benötigt werden.
• und drücken Sie die "Sterne", wenn es hilft. Dann wird es weiter verbessert.

Autor

• Letda Kes dr. Muhammad Sobri Maulana, S.Kom, CEH, OSCP, OSCE
• GitHub: github.com/sobri3195
• Kontakt: [email protected]

Spende

Unterstützen Sie dieses Projekt: https://lynk.id/muhsobrimaulana

Features

Kern-Scan-Fähigkeiten

• Dateiüberprüfung basierend auf Hash (kostenlose Malware-Hashes): Nutzt kostenlose Malware-Hash-Datenbanken, um bekannte bösartige Dateien durch Vergleich ihrer kryptografischen Hashes zu identifizieren, ohne dass eine signaturbasierte Erkennung erforderlich ist.
• Scannen inklusive Unterverzeichnisse: Durchläuft und scannt automatisch alle Unterverzeichnisse im Zielpfad für eine umfassende Abdeckung der Dateisysteme.
• Multithreading-Aufgaben: Verwendet parallele Verarbeitung, um mehrere Dateien gleichzeitig zu scannen, was die Gesamtscanzeit auf Systemen mit mehreren Kernen erheblich reduziert.
• Dateierweiterungen zum Scannen festlegen: Ermöglicht Benutzern, die zu scannenden Dateitypen anzupassen und Ressourcen auf potenziell ausführbare oder gefährliche Dateiformate zu konzentrieren.
• Verzeichnisse festlegen, die nicht gescannt werden sollen: Ermöglicht den Ausschluss bestimmter Verzeichnisse, um das Scannen in sensiblen Bereichen zu vermeiden oder die Leistung zu verbessern.

Integration & Berichterstattung

• Einfaches Anhängen von Scan-Protokollen an das SIEM (z. B. Splunk): Erzeugt Protokolle in einem Format, das direkt von Security Information and Event Management-Systemen für die zentrale Überwachung aufgenommen werden kann.
• Export von Scan-Ergebnissen in mehreren Formaten (CSV, JSON, XML): Unterstützt verschiedene Exportformate für die Integration mit verschiedenen Analysetools und Berichtssystemen.
• E-Mail-Benachrichtigungen bei erkannten Bedrohungen: Sendet automatisch Warnungen, wenn bösartige Dateien entdeckt werden, und stellt so sofortiges Bewusstsein für Sicherheitsvorfälle sicher.
• Detailliertes Bedrohungsanalyse- und Berichts-Dashboard: Bietet umfassende Visualisierungen und Metriken zu Scan-Ergebnissen, Bedrohungsverteilungen und dem Systemsicherheitsstatus.

Erweiterte Erkennungsfunktionen

• Echtzeit-Scan-Funktion für aktive Überwachung: Überwacht kontinuierlich Dateisystemaktivitäten, um Bedrohungen sofort zu erkennen, ohne auf geplante Scans zu warten.
• Integration mit cloudbasierten Bedrohungsinformationsplattformen: Stellt Verbindungen zu externen Threat-Intelligence-Diensten her, um die Erkennungsfähigkeiten mit aktuellen Informationen zu verbessern.
• Verhaltensanalyse verdächtiger Dateien: Untersucht das Verhalten von Dateien bei der Ausführung in einer kontrollierten Umgebung, um bösartige Muster zu identifizieren, die bei der statischen Analyse möglicherweise übersehen werden.
• Sandbox-Ausführung für unbekannte Dateien: Führt verdächtige Dateien in einer isolierten Umgebung aus, um ihr Verhalten sicher zu beobachten und festzustellen, ob sie bösartig sind.
• Speicher-Scanning zur Erkennung dateiloser Malware: Identifiziert Malware, die ausschließlich im Speicher agiert, ohne Dateien auf die Festplatte zu schreiben, und erkennt so fortgeschrittene Bedrohungen, die traditionelle Scans umgehen.
• Registry-Scanning für Windows-Systeme: Durchsucht die Windows-Registrierung nach verdächtigen Einträgen, die auf Malware-Persistenzmechanismen hinweisen könnten.
• Identifizierung und Klassifizierung von Malware-Familien: Kategorisiert erkannte Malware in Familien, um Kontext zur Bedrohung, ihren Fähigkeiten und potenziellen Auswirkungen zu liefern.

Verwaltungsfunktionen

• Einfach zu handhabende und änderbare Code-/Funktionsstruktur: Entwickelt mit modularer Architektur, die eine einfache Anpassung und Erweiterung der Funktionalität ermöglicht.
• Geplantes Scannen mit anpassbarer Häufigkeit: Ermöglicht Benutzern die Einrichtung wiederkehrender Scans in bevorzugten Intervallen (stündlich, täglich, wöchentlich), um die Systemsicherheit zu erhalten.
• Remote-Scannen von Netzwerkgeräten: Erweitert die Scan-Fähigkeiten über das Netzwerk, um alle verbundenen Geräte von einem zentralen Verwaltungspunkt aus zu schützen.
• USB-Geräte-Scanning und -Überwachung: Erkennt und scannt automatisch USB-Geräte beim Anschließen, um die Einschleppung von Malware über Wechselmedien zu verhindern.
• System-Quarantänefunktionen für infizierte Dateien: Isoliert erkannte Malware sicher, um Ausführung und Verbreitung zu verhindern und gleichzeitig weitere Analysen zu ermöglichen.
• Anpassbare Scan-Richtlinien und Bedrohungsreaktionsmaßnahmen: Ermöglicht Administratoren die Definition, wie das System auf verschiedene Bedrohungstypen reagiert, von Alarmierung bis hin zur automatischen Bereinigung.

v1.0.5

• https://github.com/sobri3195/pegasus-malware-scan/blob/main/CHANGES

Vorschau

Scan result_log

• datetime, scan_id, os, hostname, ip, file.........hash,