FastFinder

Una herramienta ligera de respuesta a incidentes para la caza de amenazas y el triage forense

✨ Descripción general

FastFinder es una herramienta de respuesta a incidentes potente y ligera diseñada para profesionales de la ciberseguridad que realizan caza de amenazas, análisis forense en vivo y triage de endpoints. Construida para las plataformas Windows y Linux, sobresale en el descubrimiento rápido de archivos sospechosos utilizando múltiples criterios de detección.

🔍 Capacidades clave de detección

• Detección basada en ruta: Coincidencia de patrones de ruta y nombre de archivo
• Verificación de hash: Validación de suma de comprobación MD5, SHA1 y SHA256
• Análisis de contenido: Coincidencia de cadenas simple y evaluación compleja de reglas YARA
• Soporte multiplataforma: Compatibilidad nativa con Windows y Linux

🛡️ Probado en batalla

• ✅ Listo para producción: Desplegado con éxito en escenarios reales de respuesta a incidentes
• ✅ Validado por la industria: Utilizado por múltiples equipos CERT, CSIRT y SOC
• ✅ Ejemplos completos: Incluye muestras reales de malware y escenarios de escaneo de vulnerabilidades

📸 Capturas de pantalla

Interfaz de usuario básica

Selección de configuración

Resultados del escaneo y coincidencias

🚀 Instalación

Inicio rápido (Recomendado)

📥 Descargar Última Versión

Compilación desde el código fuente

⚠️ Nota: La compilación requiere dependencias CGO y YARA. Consulte las guías específicas de cada plataforma:

• 🪟 Windows: Guía de compilación
• 🐧 Linux: Guía de compilación

Instalación con Docker (¡Sin dependencias requeridas!)

La forma más fácil de compilar FastFinder sin instalar dependencias:

# Build binaries for Linux and Windows
cd docker
make build-binaries

# Binaries will be in ./bin/
# - fastfinder-linux-amd64
# - fastfinder-windows-amd64.exe

Contenedor de ejecución Docker

Ejecute FastFinder dentro de un contenedor Docker privilegiado para escanear volúmenes o sistemas de archivos montados:

# Build the runtime image (includes FastFinder + YARA + editors)
.\docker-helper.ps1 build-runtime

# Run scan with configuration directory
.\docker-helper.ps1 run-runtime -ConfigPath "C:\path\to\config_folder" -ScanPath "C:\data\to\scan"

# Interactive shell mode (no scan, just shell access)
.\docker-helper.ps1 run-runtime -Interactive

Requisitos

• Tiempo de ejecución: No se requieren dependencias para binarios precompilados
• Compilación: Go 1.24+, CGO, libyara
• Privilegios: Se recomiendan derechos de administrador para acceso completo al sistema

📖 Uso

Interfaz de línea de comandos

fastfinder [OPTIONS]

Opciones disponibles

Niveles de verbosidad

• Nivel 1: Solo alertas
• Nivel 2: Alertas y advertencias
• Nivel 3: Alertas y errores (predeterminado)
• Nivel 4: Alertas, errores y operaciones de E/S
• Nivel 5: Verbosidad completa (con fines de depuración o registro realmente avanzado)

Ejemplos rápidos

# Basic scan with configuration file
./fastfinder -c config.yaml

# Continuous monitoring mode
./fastfinder -c config.yaml -t

# Create standalone executable (x64 architecture only)
./fastfinder -c config.yaml -b standalone_scanner.exe

💡 Consejo: FastFinder puede ejecutarse con privilegios de usuario estándar, pero los derechos de administrador proporcionan acceso a todos los archivos del sistema.

Escanear y exportar coincidencias de archivos según sus necesidades

Los ejemplos de configuración están disponibles allí. Aquí hay un ejemplo completo de configuración en blanco. No es necesario implementar todos los atributos si no se utiliza todo.

input:
    path: [] # match file path AND / OR file name based on simple string 
    content:
        grep: [] # match literal string value inside file content
        yara: [] # use yara rule and specify rules path(s) for more complex pattern search (wildcards / regex / conditions) 
        checksum: [] # parse for md5/sha1/sha256 in file content 
options:
    contentMatchDependsOnPathMatch: true # if true, paths are a pre-filter for grep (string) searches only. YARA and Checksums are always evaluated.
    findInHardDrives: true	# enumerate hard drive content
    findInRemovableDrives: true # enumerate removable drive content 
    findInNetworkDrives: true # enumerate network drive content
    findInCDRomDrives: true # enumerate physical CD-ROM and mounted iso / vhd...
    findInMemory: true # check for results in processes memory
output:
    copyMatchingFiles: true # create a copy of every matching file
    base64Files: true # base64 matched content before copy
    filesCopyPath: '' # empty value will copy matched files in the fastfinder.exe folder
advancedparameters:
    yaraRC4Key: ''    # yara rules can be (un)/ciphered using the specified RC4 key
    maxScanFilesize: 2048 #  ignore files up to maxScanFileSize Mb (default: 2048)               
    cleanMemoryIfFileGreaterThanSize: 512 # clean fastfinder internal memory after heavy file scan (default: 512Mb)
eventforwarding:
  enabled: true
  buffer_size: 5
  flush_time_seconds: 10
  file: # save app activity in jsonl files
    enabled: true
    directory_path: "./event_logs"
    rotate_minutes: 1    # Rotate every minute for testing
    max_file_size_mb: 1  # Rotate at 1MB for testing
    retain_files: 5      # Keep 5 old files
  http: # forward app activity with HTTP POST json data
    enabled: false
    url: "https://your-forwarder-url.com/api/events"
    ssl_verify: false
    timeout_seconds: 10
    headers:
      Authorization: "Bearer YOUR_API_KEY"
      MY-CUSTOM-HEADER: "My-Header-Value"
    retry_count: 3
  filters:
    event_types:
      - "error"
      - "warning"
      - "alert" 
      - "info"

Buscar en todas partes o en rutas especificadas:

• use '?' en rutas para comodín de un carácter (ej. powershe??.exe)
• use '\*' en rutas para comodín de múltiples caracteres (ej. \*.exe)
• las expresiones regulares también están disponibles, solo encierre las rutas con barras (ej. /[0-9]{8}\.exe/)
• también se pueden usar variables de entorno (ej. %TEMP%\myfile.exe)

Resolución de rutas de reglas YARA

Las rutas relativas en la configuración YAML se resuelven en relación con la ubicación del archivo de configuración:

input:
  content:
    yara:
      - "./example_rule_linux.yar"           # Looks in same folder as config.yaml
      - "./subfolder/custom_rules.yar"       # Looks in subfolder relative to config
      - "/absolute/path/to/rule.yar"         # Absolute paths work as-is
      - "https://example.com/rules.yar"      # URLs are also supported

Estructura de directorios de ejemplo:

project/
├── config.yaml
├── example_rule_linux.yar          # ✅ Found by "./example_rule_linux.yar"
└── rules/
    └── custom.yar                  # ✅ Found by "./rules/custom.yar"

Notas importantes

• las rutas de entrada siempre son INSENSIBLES a mayúsculas/minúsculas
• la búsqueda de contenido en cadenas (grep) siempre es SENSIBLE a mayúsculas/minúsculas
• las barras invertidas DEBEN escaparse (excepto con expresiones regulares)
• Las reglas YARA deben existir - la falta de reglas hará que FastFinder se cierre con un error Para más información, eche un vistazo a los ejemplos

🤝 Contribuciones

¡Agradecemos las contribuciones! Consulte nuestras pautas de contribución:

1. Haga un fork del repositorio
2. Cree una rama de características (git checkout -b feature/amazing-feature)
3. Confirme sus cambios (git commit -m 'Add amazing feature')
4. Empuje a la rama (git push origin feature/amazing-feature)
5. Abra un Pull Request

Configuración de desarrollo

# Clone the repository
git clone https://github.com/codeyourweb/fastfinder.git
cd fastfinder

# Install dependencies (see compilation guides)
# Build from source
go build -tags yara_static,gio -a -ldflags '-s -w' .

# Run tests
go test ./...

📜 Licencia

Este proyecto está bajo la licencia AGPL - consulte el archivo LICENSE para más detalles.

🚀 Soporte

• 🐛 Reportar problemas: GitHub Issues
• 💬 Discusiones: GitHub Discussions
• 📧 Seguridad: Reporte vulnerabilidades de seguridad de forma privada

📊 Estadísticas del proyecto

🙏 Agradecimientos

• Hilko Bengen (@hillu) por su maravillosa implementación de yara en Go y también por su valiosa ayuda depurando problemas de CGO
• Marc Ochsenmeier por su valiosa ayuda, comentarios y también por haber hablado sobre mi proyecto
• Vitali Kremez ✝ por inspirarme en muchos aspectos que me llevaron a construir fastfinder
• m0n4 (https://github.com/m0n4) por desafiarme técnicamente con regularidad y contribuir mucho más al nacimiento de este proyecto de lo que él podría imaginar.

Hecho con ❤️ por la comunidad de ciberseguridad
Creado por Jean-Pierre GARNIER (@codeyourweb) • 2021-2026