munin

 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

Comprobador de Hashes en Línea para Virustotal y Otros Servicios
Florian Roth

¿Qué es Munin?

Munin es una utilidad de comprobación de hashes en línea que recupera información valiosa de diversas fuentes en línea

La versión actual de Munin consulta los siguientes servicios:

• Virustotal
• HybridAnalysis
• Any.Run
• URLhaus
• MISP
• CAPE
• Malshare
• Valhalla
• Hashlookup

Captura de Pantalla

Modo Predeterminado - Leer Hashes desde Archivo

Uso

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Comprobador de Hashes en Línea

argumentos opcionales:
  -h, --help            muestra este mensaje de ayuda y sale
  -f path               Archivo a procesar (hash línea por línea O csv con hash
                        en cada línea - detecta automáticamente posición y comentario)
  --vh search-string    Consulta Valhalla para hashes por palabra clave, etiquetas,
                        nombre de regla YARA, software de Mitre ATT&CK (ej. S0154),
                        técnica (ej. T1023) o grupo de amenazas (ej. G0049)
  --vhrule search-string
                        Consulta Valhalla para hashes mediante reglas por palabra clave,
                        etiquetas, nombre de regla YARA, software de Mitre ATT&CK (ej.
                        S0154), técnica (ej. T1023) o grupo de amenazas (ej. G0049)
  -o output             Archivo de salida para los resultados (CSV)
  --vtwaitquota         No continuar si se excede la cuota de VT, sino esperar
                        hasta el día siguiente
  --vtminav min-matches
                        Número mínimo de coincidencias de AV para consultar info
                        del hash desde VT"
  --limit hash-limit    Salir después de procesar esta cantidad de hashes nuevos en modo
                        por lotes (ignora caché).
  --vhmaxage days       Edad máxima de la muestra en Valhalla a procesar
  -c cache-db           Nombre del archivo de base de datos de caché (defecto: vt-hash-
                        db.json)
  -i ini-file           Nombre del archivo ini que contiene las claves de API
  -s sample-folder      Carpeta con muestras a procesar
  --comment             Publica un comentario para el hash analizado que
                        contiene el comentario de la línea de registro
  -p vt-comment-prefix  Prefijo de comentario de Virustotal
  --download            Habilita la descarga de muestras desde Hybrid Analysis.
                        Se necesita SHA256 de la muestra.
  -d download_path      Ruta de salida para la descarga de muestras desde Hybrid
                        Analysis. La carpeta debe existir
  --nocache             No usar archivo de base de datos de caché
  --nocsv               No escribir un CSV con los resultados
  --verifycert          Verificar certificados SSL/TLS
  --sort                Ordenar las líneas de entrada
  --web                 Ejecutar Munin como servicio web
  -w port               Puerto del servicio web
  --cli                 Ejecutar Munin en modo interfaz de línea de comandos
  --rescan              Activar un nuevo escaneo de cada archivo analizado
  --debug               Salida de depuración

Características

• Recupera información valiosa de Virustotal mediante API (respuesta JSON) y otra información mediante enlace permanente (análisis HTML)
• Recupera información adicional de una lista de plataformas
• Mantiene un historial (caché) para consultar los servicios solo una vez por un hash que pueda aparecer múltiples veces en el archivo de texto
• Los objetos en caché se almacenan en JSON
• Crea un archivo CSV con los hallazgos para facilitar el postprocesamiento y la generación de informes
• Agrega resultados a un CSV anterior si está disponible

Visualizaciones

• Hash y comentario (el comentario es el resto de la línea de la cual se ha extraído el hash)
• Coincidencias de proveedores AV basadas en una lista definida por el usuario
• Nombres de archivo utilizados en la naturaleza
• Información PE como la descripción, el nombre de archivo original y la declaración de derechos de autor
• Firma de un ejecutable portátil firmado
• Resultado basado en la proporción de Virustotal
• Primera y última presentación
• Etiquetas para ciertos indicadores: Inofensivo, Firmado, Expirado, Revocado, SoftwareMS

Comprobaciones Adicionales

• Consulta Malshare.com para cargas de muestras
• Consulta Hybrid-Analysis.com para informes
• Consulta múltiples instancias MISP para eventos disponibles
• Consulta el sandbox de Any.run para informes
• Consulta el sandbox CAPE para informes
• Consulta URLhaus para informes
• Consulta Malshare para muestras disponibles
• Consulta Valhalla para coincidencias de reglas YARA
• Duplicados de Imphash en el lote actual > permite detectar superposiciones en hashes de tabla de importación
• Verificaciones de duplicados de firma PE

Modos de Operación

1. Predeterminado - proporcionando un archivo de entrada (-f) con hashes o un directorio de muestras (-s)
2. Consulta - para buscar hashes desde Valhalla por palabra clave, etiquetas, técnica ATT&CK (ej. T1023), grupo de amenazas ATT&CK (ej. G0049) o nombre de regla (-q)
3. Interfaz de Línea de Comandos - usando el parámetro --cli
4. Modo Servicio Web - usando el parámetro --web

Primeros Pasos

1. Descargar / clonar el repositorio
2. Instalar los paquetes requeridos: pip3 install -r requirements.txt (en macOS agregar --user)
3. Configurar las claves de API para los diferentes servicios en su archivo ini personalizado cp munin.ini my.ini (ver la sección Obtener las Claves de API para ayuda)
4. Usar el archivo de demostración para una primera ejecución: python munin.py -i my.ini -f munin-demo.txt

Requisitos

• Python 3.7 y superior
• Conexión a Internet (Soporte Proxy; la interceptación SSL/TLS puede ser un problema)

Líneas de Comando Típicas

Procesar un resultado de Retrohunt de Virustotal y ordenar las líneas antes de la verificación para que las firmas coincidentes se verifiquen en bloques

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

Procesar un directorio con muestras y verificar sus hashes en línea

python3 munin.py -i my.ini -s ~/malware/case34

Usar el modo de interfaz de línea de comandos (nuevo en v0.14)

python3 munin.py -i my.ini

Obtener las Claves de API

Virustotal