CrowdFMS

Copyright (C) 2013 CrowdStrike, Inc. Este archivo está sujeto a los términos y condiciones de la Licencia BSD. Consulte el archivo LICENSE en el directorio principal para obtener más detalles.

CrowdFMS es un marco de trabajo para automatizar la recopilación y el procesamiento de muestras de VirusTotal, aprovechando el sistema de API privada. Este marco descarga automáticamente muestras recientes que activaron una alerta en el feed de notificaciones YARA del usuario.

Los usuarios también pueden especificar un comando para ejecutar en estas muestras recién descargadas, según el nombre de su regla YARA. Por ejemplo, un usuario puede especificar que todas las muestras que coincidieron con la regla YARA "Zeus", se envíen automáticamente a la sandbox de Cuckoo.

Módulos de Python:

• sqlite3
• shutil
• argparse
• requests
• re
• json
• requests

Coloque también su clave API en .virustotal o ~/.virustotal

Uso y herramientas: crowdfms.py - Sistema principal de recolección de muestras

sample_details - Obtener detalles de una muestra almacenada en la base de datos local

• Uso: sample_details.py -f -HASH- # El hash puede ser MD5, SHA1 o SHA256

fetch_file - copiar archivo de la base de datos al directorio de trabajo actual

• Uso: fetch_file -f -HASH- # El hash puede ser MD5, SHA1 o SHA256

add_action - Añadir acción para realizar en una nueva coincidencia de regla de muestra

• Uso: add_action -y -Nombre de regla YARA- -c -Comando a ejecutar- # El comando a ejecutar debe contener %s donde debe ir la ruta de la muestra

add_action - Añadir acción para realizar en una nueva coincidencia de regla de muestra

• Uso: add_action -y -Nombre de regla YARA- -c -Comando a ejecutar- # El comando a ejecutar debe contener %s donde debe ir la ruta de la muestra

list_actions - Listar todas las reglas YARA -> coincidencias

• Uso: list_actions