pegasus-malware-scan

Descripción

Pegasus Malware Scan es una solución integral de ciberseguridad diseñada para la detección avanzada de amenazas y el análisis de malware. Construida con Python, esta potente herramienta emplea técnicas de detección multicapa para identificar y neutralizar una amplia gama de software malicioso, desde virus comunes hasta amenazas persistentes avanzadas (APT) sofisticadas.

¿Qué es Pegasus Malware Scan?

Pegasus Malware Scan representa la próxima generación de herramientas de detección de malware, combinando la verificación tradicional basada en hashes con análisis de comportamiento moderno y capacidades de aprendizaje automático. A diferencia de las soluciones antivirus convencionales que se basan principalmente en la detección por firmas, Pegasus implementa un enfoque híbrido que puede identificar tanto amenazas conocidas como malware previamente no descubierto mediante la detección de anomalías.

Ventajas Clave

• Ligero pero Potente: El código optimizado asegura un uso mínimo de recursos del sistema mientras mantiene una protección integral
• Detección Multicapa: Combina múltiples métodos de detección para una máxima efectividad contra diversas amenazas
• Preparado para Empresas: Escala desde sistemas individuales hasta grandes despliegues organizativos con gestión centralizada
• Personalizable: Altamente configurable para cumplir requisitos de seguridad específicos en diferentes entornos
• Arquitectura Abierta: Diseñado para integrarse con infraestructura y herramientas de seguridad existentes

Casos de Uso

• Respuesta a Incidentes: Escanee rápidamente sistemas durante incidentes de seguridad activos para identificar la presencia de malware
• Informática Forense: Analice archivos y sistemas sospechosos para recopilar evidencia para investigaciones de seguridad
• Refuerzo de Sistemas: Realice escaneos completos para garantizar la integridad del sistema antes de la implementación
• Monitoreo Continuo: Implemente protección continua contra amenazas en evolución en sistemas críticos
• Investigación de Seguridad: Ayude en el análisis de malware y la investigación con capacidades de escaneo detalladas

Especificaciones Técnicas

• Lenguaje: Construido con Python 3.6+ para compatibilidad multiplataforma
• Base de Datos: Utiliza bases de datos NoSQL optimizadas para el almacenamiento de inteligencia de amenazas
• Requisitos del Sistema:
  • Mínimo: 2 GB de RAM, 500 MB de espacio en disco, procesador de un solo núcleo
  • Recomendado: 4 GB de RAM, 1 GB de espacio en disco, procesador multinúcleo
• Plataformas Compatibles: Windows, macOS, Linux (Ubuntu, CentOS, Debian)
• Integración de API: API RESTful para integración con otras herramientas de seguridad
• Contenedores: Soporte Docker para fácil implementación y escalado

Arquitectura del Sistema

Pegasus Malware Scan emplea una arquitectura modular compuesta por varios componentes principales:

1. Motor de Escaneo: El componente principal responsable del análisis de archivos utilizando varios métodos de detección
2. Módulo de Inteligencia de Amenazas: Mantiene una base de datos actualizada de amenazas conocidas e indicadores de compromiso
3. Subsistema de Análisis de Comportamiento: Ejecuta y monitorea archivos sospechosos en un entorno aislado (sandbox)
4. Sistema de Informes y Alertas: Genera informes detallados y envía notificaciones sobre amenazas detectadas
5. Consola de Administración: Proporciona una interfaz unificada para configuración y monitoreo
6. Capa de Integración: Facilita la comunicación con sistemas externos y herramientas de seguridad

El diseño modular permite actualizaciones y extensiones de funcionalidad fáciles sin requerir cambios en el sistema central.

Escenarios de Despliegue

Pegasus Malware Scan soporta múltiples escenarios de despliegue para adaptarse a diferentes necesidades organizativas:

• Despliegue Independiente: Instale directamente en endpoints individuales para protección independiente
• Modelo Cliente-Servidor: Servidor de administración central con agentes ligeros desplegados en los endpoints
• Despliegue Basado en la Nube: Modelo SaaS con administración y análisis alojados en la nube
• Despliegue Híbrido: Combinación de componentes locales y en la nube para un rendimiento óptimo
• Redes Aisladas: Opciones de despliegue especiales para entornos de alta seguridad desconectados

Cumplimiento de Seguridad y Estándares

Pegasus Malware Scan está diseñado para ayudar a las organizaciones a cumplir con los requisitos de cumplimiento de seguridad en múltiples marcos:

• Soporta el cumplimiento con GDPR, HIPAA, PCI DSS y el Marco de Ciberseguridad de NIST
• Sigue las mejores prácticas de seguridad de OWASP para desarrollo seguro
• Implementa prácticas adecuadas de manejo de datos para información sensible
• Proporciona pistas de auditoría adecuadas para informes de cumplimiento
• Actualizado regularmente para abordar estándares de seguridad emergentes

Notas Originales del Proyecto

• Escáner de malware muy básico por comparación de hashes
• A veces esto puede ser necesario durante una respuesta a incidentes.
• Si encuentra archivos nuevos o sospechosos al realizar una respuesta, querrá verificar dónde existen estos archivos en los sistemas. Entonces podría necesitar una herramienta como esta. Esta es una versión demo, no está completa. Debe cambiar y modificar el código y hacerlo suyo.
• Avíseme si se requieren cambios o si necesita funciones adicionales.
• y presione las "estrellas" si le ayuda. Así continuará mejorando.

Autor

• Letda Kes dr. Muhammad Sobri Maulana, S.Kom, CEH, OSCP, OSCE
• GitHub: github.com/sobri3195
• Contacto: [email protected]

Donación

Apoye este proyecto: https://lynk.id/muhsobrimaulana

Características

Capacidades de Escaneo Principal

• Inspección de archivos basada en hash (hashes de malware gratuitos): Utiliza bases de datos de hashes de malware gratuitos para identificar archivos maliciosos conocidos comparando sus hashes criptográficos sin requerir detección basada en firmas.
• Escaneo que incluye subdirectorios: Recorre y escanea automáticamente todos los subdirectorios dentro de la ruta objetivo para una cobertura completa de los sistemas de archivos.
• Trabajos de Multihilo: Emplea procesamiento paralelo para escanear múltiples archivos simultáneamente, reduciendo significativamente el tiempo total de escaneo en sistemas con múltiples núcleos.
• Definir extensiones de archivo a escanear: Permite a los usuarios personalizar qué tipos de archivos se escanean, enfocando los recursos en formatos de archivo potencialmente ejecutables o peligrosos.
• Definir directorios que no se escanearán: Permite excluir directorios específicos para evitar escanear áreas sensibles o mejorar el rendimiento.

Integración e Informes

• Fácil de adjuntar scan_logs al SIEM (por ejemplo, Splunk): Genera registros en un formato que puede ser ingerido directamente por los sistemas de Gestión de Información y Eventos de Seguridad para monitoreo centralizado.
• Exportar resultados de escaneo en múltiples formatos (CSV, JSON, XML): Soporta varios formatos de exportación para integración con diferentes herramientas de análisis y sistemas de informes.
• Notificaciones por correo electrónico para amenazas detectadas: Envía alertas automáticamente cuando se descubren archivos maliciosos, asegurando la conciencia inmediata de incidentes de seguridad.
• Panel de análisis de amenazas e informes detallados: Proporciona visualizaciones y métricas completas sobre los resultados del escaneo, distribuciones de amenazas y estado de seguridad del sistema.

Funciones Avanzadas de Detección

• Capacidad de escaneo en tiempo real para monitoreo activo: Monitorea continuamente las actividades del sistema de archivos para detectar amenazas a medida que aparecen, sin esperar escaneos programados.
• Integración con plataformas de inteligencia de amenazas en la nube: Se conecta a servicios externos de inteligencia de amenazas para mejorar las capacidades de detección con información actualizada.
• Análisis de comportamiento de archivos sospechosos: Examina cómo se comportan los archivos cuando se ejecutan en un entorno controlado para identificar patrones maliciosos que el análisis estático podría pasar por alto.
• Ejecución en sandbox para archivos desconocidos: Ejecuta archivos sospechosos en un entorno aislado para observar su comportamiento de forma segura y determinar si son maliciosos.
• Escaneo de memoria para detección de malware sin archivos: Identifica malware que opera únicamente en memoria sin escribir archivos en el disco, detectando amenazas avanzadas que evaden el escaneo tradicional.
• Escaneo del registro para sistemas Windows: Examina el registro de Windows en busca de entradas sospechosas que podrían indicar mecanismos de persistencia de malware.
• Identificación y clasificación de familias de malware: Categoriza el malware detectado en familias para proporcionar contexto sobre la amenaza, sus capacidades y posibles impactos.

Funciones de Gestión

• Estructura de código/funciones fácil de manejar y modificar: Diseñado con arquitectura modular que permite una fácil personalización y extensión de funcionalidad.
• Escaneo programado con frecuencia personalizable: Permite a los usuarios configurar escaneos recurrentes en intervalos preferidos (cada hora, diariamente, semanalmente) para mantener la seguridad del sistema.
• Escaneo remoto de dispositivos en red: Extiende las capacidades de escaneo a través de la red para proteger todos los dispositivos conectados desde un punto de administración central.
• Escaneo y monitoreo de dispositivos USB: Detecta y escanea automáticamente dispositivos USB cuando se conectan para prevenir la introducción de malware a través de medios extraíbles.
• Capacidades de cuarentena del sistema para archivos infectados: Aísla de forma segura el malware detectado para prevenir su ejecución y propagación mientras permite un análisis adicional.
• Políticas de escaneo y acciones de respuesta a amenazas personalizables: Permite a los administradores definir cómo responde el sistema a diferentes tipos de amenazas, desde alertas hasta corrección automática.

v1.0.5

• https://github.com/sobri3195/pegasus-malware-scan/blob/main/CHANGES

Vista Previa

Registro de resultados de escaneo

• datetime, scan_id, os, hostname, ip, file.........hash,

datetime="2022-12-23 13:52:45",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\chrome.exe",sha256="45de9f5a25bf478c6a8d8625a984895c9b3fdea6eb12a55ddd088dcebd9df5ab",created_at="2022-05-02 21:33:38",modified_at="2022-04-14 06:17:04"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineLauncher.exe",sha256="60fd9ceac8d1c40e835d3dc9aa77599d3f810a646199ecbdcb8003521ce7d502",created_at="2022-05-10 12:38:18",modified_at="2022-03-10 18:00:10"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineUpdater.exe",sha256="6b663f9f7bf3b6c1a2ce898b2402b691fff6dced36e9b0196e152bbfc409db42",created_at="2022-05-10 12:38:22",modified_at="2022-04-06 10:06:28"
datetime="2022-12-23 13:52:47",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\PCHunter32.exe",sha256="0544b99c52d607712d70351c6d9afb1fba6adb0de256baf662f06fdf6058aa3d",created_at="2022-05-10 11:36:04",modified_at="2017-08-14 02:27:08"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\report.xlsx",sha256="dd1dc1cb4ffa3e1b91f00496436416807f6153d53ac45e67ce1287c842bd5e3e",created_at="2022-04-27 23:53:33",modified_at="2021-09-07 10:52:40"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\TWOD_Launcher.exe",sha256="1d55ab0a703f2b8f5cc0d3cc93bedf7c03799b2b3e42defc83c175da8a125962",created_at="2022-04-27 23:54:50",modified_at="2022-04-07 09:14:08"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\unins000.exe",sha256="2da3b504c2b68219c0b4c6f062867dae091560c3f1e0735f1a7b17b1d79b5a90",created_at="2022-04-27 23:54:53",modified_at="2022-04-26 12:19:01"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\vmware-view.exe",sha256="17b21902170784d460fd0168e08f6e2075d6eb0a501093bc35184c550d73b5d8",created_at="2022-05-10 12:38:38",modified_at="2020-07-07 18:08:06"