Escribí un nuevo escáner YARA de Código Abierto llamado LOKI RS (Rust). LOKI (Python) ahora está oficialmente obsoleto.

Nota Importante

Este proyecto ahora está en modo de mantenimiento inactivo. Esto significa que, aunque fusiono pull requests para correcciones de errores y problemas sencillos, actualmente no dispongo del tiempo para añadir nuevas funcionalidades o ampliar las existentes. Durante años, mi enfoque ha estado en desarrollar un escáner más avanzado, THOR, que ofrece una serie de mejoras sobre este proyecto. Existe una versión gratuita, THOR Lite; es más rápido, más estable y rigurosamente probado en nuestros entornos de CI—simplemente una mejor solución. Puedes encontrar una comparación de los escáneres de código abierto, gratuitos y comerciales aquí.

También he comenzado a trabajar en una versión basada en Rust de LOKI llamada LOKI 2. Sin embargo, no estoy seguro de cuándo alcanzará la paridad de funciones con la versión actual de LOKI. Además, creé un diagrama de flujo para ayudarte a decidir qué escáner se adapta mejor a tus necesidades.

Loki - Escáner Simple de IOC y YARA

Escáner de Indicadores Simples de Compromiso

La detección se basa en cuatro métodos de detección:

1. IOC de Nombre de Archivo
   Coincidencia de expresión regular en la ruta/nombre completo del archivo

2. Verificación de Reglas Yara
   Coincidencia de firma Yara en datos de archivos y memoria de procesos

3. Verificación de Hash
   Compara hashes maliciosos conocidos (MD5, SHA1, SHA256) con los archivos escaneados
   
4. Verificación de Conexión de Retroceso C2
   Compara los puntos de conexión de procesos con IOCs de C2 (nuevo desde la versión v.10)
   

Verificaciones Adicionales:

1. Verificación del sistema de archivos Regin (mediante --reginfs)
2. Verificación de anomalías de procesos (basada en [Sysforensics](http://goo.gl/P99QZQ)
3. Escaneo de SWF descomprimido (nuevo desde la versión v0.8)
4. Verificación de volcado SAM

El binario de Windows se compila con PyInstaller y debe ejecutarse como aplicación x86 tanto en sistemas x86 como x64.

Cómo Ejecutar LOKI y Analizar los Informes

Ejecución

• Descargue la versión más reciente de LOKI desde la sección de lanzamientos
• Extraiga el paquete del programa
• Ejecute loki-upgrader.exe en un sistema con acceso a Internet para obtener las firmas más recientes
• Lleve la carpeta del programa a un sistema de destino que se vaya a escanear: medios extraíbles, recurso compartido de red, carpeta en el sistema de destino
• Abra una línea de comandos "cmd.exe" como Administrador y ejecútelo desde allí (también puede ejecutar LOKI sin privilegios administrativos, pero algunas verificaciones se deshabilitarán y los objetos relevantes en disco no serán accesibles)

Informes

• El informe resultante mostrará una línea de resultado VERDE, AMARILLA o ROJA.
• Analice los hallazgos usted mismo:
  1. Subiendo muestras no confidenciales a Virustotal.com
  2. Busque en la web el nombre del archivo
  3. Busque en la web palabras clave del nombre de la regla (ej. EQUATIONGroupMalware_1 > buscar "Equation Group")
  4. Busque en la web el hash MD5 de la muestra
• Informe los falsos positivos a través de la sección "Issues", accesible desde la barra lateral derecha (mencione el indicador de falso positivo, como un hash y/o nombre de archivo, y el nombre de la regla que lo activó)

Requisitos

No se requieren requisitos si usa el EXE compilado.

Si desea compilarlo usted mismo:

• yara : Se recomienda usar la versión más reciente de los paquetes compilados para Windows (x86) - Descárguelo desde aquí: https://github.com/VirusTotal/yara-python/releases
• colorama : para darle color
• psutil : verificaciones de procesos
• pywin32 : conversiones de ruta (PyInstaller problema; solo Windows)

Uso