masc

Un escáner de malware (web) desarrollado durante el Hackathon de CyperCamp 2017

Acerca de

homepage

PyPI

Características

Por el momento, hay algunas características disponibles para cualquier tipo de sitio web (personalizado o CMS) y algunas solo disponibles para plataformas específicas:

• Escanea cualquier sitio web en busca de malware utilizando la suma de comprobación de OWASP WebMalwareScanner, bases de datos de reglas YARA y el motor ClamAV (si está disponible)
• Realiza algunas operaciones de limpieza para mejorar la protección del sitio web
• Monitorea el sitio web en busca de cambios. Los detalles se escriben en un archivo de registro
• Escanea tu sitio para saber si ha sido infectado con algún malware
• Lista tus copias de seguridad locales
• Soporte de registro (logging)
• Realiza copia de seguridad de tu sitio
• Restaura el sitio web
• Escanea en busca de archivos sospechosos y compara con una instalación limpia (para Wordpress y Drupal)
• Limpia tu sitio para evitar dar información adicional a los atacantes (solo disponible para Wordpress)

Instalación

Para instalar masc en tu computadora, puedes simplemente clonar este repositorio. También puedes descargar la última versión, descomprimirla y probarla. O quizás prefieras instalarlo usando pip ('pip3 install masc').

Revisa los requisitos antes de ejecutarlo.

Revisa este aviso antes si estás usando Debian Linux.

Revisa este aviso antes si estás usando Mac OSX.

masc ha sido probado solo en plataformas Linux y Mac OSX. Debería funcionar en Windows pero aún no lo he probado.

Requisitos

Primero que nada, ten en cuenta que esta herramienta está desarrollada en entornos Linux y Mac OSX y, por el momento, solo ha sido probada en estos sistemas operativos.

• Python >= 3
• Algunas librerías de Python
  • python-magic
  • yara-python
  • watchdog
  • termcolor
  • pypandoc
  • progress
  • pyclamd

santi@zenbook:$ pip3 install python-magic yara-python watchdog termcolor pypandoc progress pyclamd

• ClamAV para integrar con su motor (opcional pero recomendado)

Aviso para usuarios/desarrolladores Debian

En mi portátil, después de actualizar a Debian testing, masc comenzó a mostrar un error relacionado con Yara

OSError: /usr/lib/libyara.so: cannot open shared object file: No such file or directory

Después de probar muchas soluciones que encontré en Internet, me di cuenta de que este archivo estaba ubicado en mi computadora en /usr/local/lib/python3.5/dist-packages/usr/lib, así que creé un enlace simbólico desde la ruta anterior a /usr/lib

santi@zenbook:$ ln -s /usr/local/lib/python3.5/dist-packages/usr/lib/libyara.so /usr/lib/libyara.so

Y ahora, masc y la librería Yara funcionan sin problemas.

Aviso para usuarios/desarrolladores MacOS

masc está desarrollado en Linux pero ha sido probado en Mac OSX. De todas formas, debería funcionar sin problemas en cualquier sistema operativo amigable con Unix.

En particular, en Mac OSX he notado que es necesario instalar Homebrew para usar la librería python-magic correctamente como libmagic. Revisa primero el enlace anterior a la página de brew y luego podrás instalarlo como muestro a continuación:

santi@zenbook:$ brew install libmagic

Además, en mi computadora tuve que cambiar la primera línea del script masc.py. Python3 está instalado en /usr/local/bin y no está permitido crear enlaces simbólicos desde /usr/bin

Cambia la primera línea de masc.py

#!/usr/bin/python3

por esta línea

#!/usr/local/bin/python3

De todas formas, siempre puedes ejecutar masc usando el intérprete de Python en lugar de ejecutar el script directamente:

santi@zenbook:$ python3 masc.py

Uso

usage: masc [-h] [-af FILENAME] [--aw STRING] [-cc] [-c] [-l] [-b] [-m]
               [-n NAME] [-p PATH] [-r] [-s] [-t {wordpress,drupal,custom}]

optional arguments:
  -h, --help            show this help message and exit
  -af FILENAME, --add-file FILENAME
                        Add a suspect file to the dictionary
  -aw STRING --add-word STRING
                        Add a suspect content to the dictionary
  -cc, --clean-cache        Clean masc cache (cache and logs files, NO backups)
  -c, --clean-site          Clean up the site (and apply some extra actions to hide information to attackers)
  -l, --list-backups        List local backups
  -b, --make-backup         Create a local backup of the current installation
  -m, --monitor             Monitor site to detect changes
  -n NAME, --name NAME      Name assigned to the scanned installation
  -p PATH, --path PATH      Website installation path
  -r, --rollback            Restore a local backup
  -s, --scan                Scan website for malware
  -t {wordpress,drupal,custom}, --site-type {wordpress,drupal,custom}
                        which type of web you want to scan:: wordpress,
                        joomla, drupal or magento

Las acciones que puedes realizar sobre una instalación web son:

• -s, --scan (con o sin la opción --clean-site)
• -r, --rollback (con sus opciones)
• -m, --monitor (con sus opciones)
• -b, --make-backup (con sus opciones)
• -l, --list-backups

Y debes considerar que si quieres realizar algunas acciones sobre algún tipo de instalación web, es obligatorio especificar el tipo (-t o --type) y la ruta (-p o --path).

Por ejemplo, si tienes una instalación de WordPress en /var/www/html y quieres escanearla completamente:

santi@zenbook:$ ./masc.py --scan --site-type wordpress --path /var/www/html

Y si quieres realizar acciones de limpieza (para eliminar algún malware, por ejemplo):

santi@zenbook:$ ./masc.py --scan --site-type wordpress --path /var/www/html --clean-site

Pruebas

Hay dos muestras de sitios web hackeados en el archivo zip samples:

• drupal: instalación limpia de Drupal con algunos scripts maliciosos. Puedes usarlo para hacer tus pruebas durante el desarrollo
• wordpress: instalación limpia de WordPress con algo de malware para probar. También hay algunas vulnerabilidades de seguridad como directorios vacíos y algunos permisos incorrectos para probar las características adicionales implementadas para este tipo de CMS

Además, hay un repositorio en Docker Hub para realizar pruebas masc-wordpress

Documentación

Puedes encontrar un tutorial sobre cómo usar masc en la wiki

Cómo contribuir

Si quieres contribuir a este proyecto, echa un vistazo a la wiki. Hay una sección sobre Cómo contribuir a este proyecto

Agradecimientos

Gracias a OWASP WebMalwareScanner por algunas ideas y las bases de datos de firmas con sumas de comprobación y reglas YARA (y cómo cargarlas para trabajar con ellas).

Autor

Santiago Faci [email protected]