factual-rules-generator

Factual-rules-generator es un proyecto de código abierto que tiene como objetivo generar reglas YARA sobre software instalado a partir de un sistema operativo en ejecución.

El objetivo del software es poder utilizar un conjunto de reglas contra evidencias forenses digitales recolectadas o adquiridas y encontrar software instalado de manera oportuna.

El software se puede utilizar para establecer una línea base de software conocido de un sistema Windows y crear un conjunto de reglas para encontrar instalaciones similares en otros sistemas.

Dependencias

• pefile

• psutil

• ndjson

• python-tlsh

• PyInstaller (para cambiar client.py a client.exe)

• ssdeep

  • En Ubuntu:
    • sudo apt-get install build-essential libffi-dev python3 python3-dev python3-pip libfuzzy-dev
    • pip install ssdeep

Requisitos de herramientas

Se requieren algunas herramientas en el sistema operativo anfitrión, algunas son herramientas estándar de Unix y otras adicionales:

• xxd
• curl

Para la máquina virtual Windows, se requiere instalar el siguiente software:

• SDelete
• AsA (AttackSurfaceAnalyzer)

Instalación

• Instale todas las dependencias de Python definidas en requirements.txt
• Cree una carpeta compartida para comunicarse con la VM
• Instale una VM Windows
  • Instale chocolatey en la VM Windows
  • Complete bin/OnWindows/Varclient.py
  • Cambie bin/OnWindows/client.py a un archivo ejecutable con PyInstaller y colóquelo en la carpeta de inicio
• Actualice etc/allVariables.py para que coincida con su configuración deseada

En test/ se dan algunos ejemplos de software a instalar, se requiere el siguiente formato específico:

• Primero, seleccione el nombre de los paquetes a instalar usando chocolatey antes de :, o el nombre del archivo en caso de un archivo msi o exe.
• Segundo, después de : está el nombre del exe a extraer y ejecutar (sin extensión).
• La segunda parte después de , sigue el mismo sistema con la palabra installer primero y después : el tipo de instalador:
  • choco
  • msiexec
  • exe
• Finalmente, la tercera parte, uninstaller seguido de : y el desinstalador como choco, msiexec o exe

Ejecutar y generar las reglas

• bin/Generator.py es el único script a ejecutar, no olvide actualizar etc/allVariables.py (paso crítico).

Repositorio público de reglas YARA

• factual-rules - Reglas de muestra generadas a partir de software muy común.

Visión general de factual rules generator

Licencia

    Factual-rules-generator es un proyecto de código abierto que tiene como objetivo generar reglas YARA sobre software instalado desde una máquina.

    Copyright (C) 2021-2022 David Cruciani
    Copyright (C) 2021-2022 CIRCL - Computer Incident Response Center Luxembourg

    Este programa es software libre: puede redistribuirlo y/o modificarlo
    bajo los términos de la Licencia Pública General Affero de GNU tal como
    la publica la Free Software Foundation, ya sea la versión 3 de la Licencia,
    o (a su elección) cualquier versión posterior.

    Este programa se distribuye con la esperanza de que sea útil,
    pero SIN NINGUNA GARANTÍA; sin siquiera la garantía implícita de
    COMERCIABILIDAD o IDONEIDAD PARA UN PROPÓSITO PARTICULAR. Consulte la
    Licencia Pública General Affero de GNU para obtener más detalles.

    Debería haber recibido una copia de la Licencia Pública General Affero de GNU
    junto con este programa. Si no es así, consulte <http://www.gnu.org/licenses/>.