================ PROJET ARCHIVÉ

CE PROJET A ÉTÉ ARCHIVÉ ET SA FILE D'ATTENTE DE PROBLÈMES EST VERROUILLÉE. LE PROJET RESTERA PUBLIC UNIQUEMENT À TITRE DE RÉFÉRENCE.

.. image:: docs/media/pyrebox_logo_light_bg.png

.. _QEMU: http://qemu.org/ .. _DECAF: https://github.com/sycurelab/DECAF .. _S2E: https://github.com/dslab-epfl/s2e .. _AVATAR: https://github.com/avatartwo .. _PANDA: https://github.com/panda-re/panda .. _Volatility: http://www.volatilityfoundation.org/ .. _BUILD: BUILD.rst .. _here: https://github.com/Cisco-Talos/pyrebox/issues .. _slides: https://github.com/Cisco-Talos/pyrebox/tree/master/docs/pyrebox_hitb_ams.pdf .. _available: https://github.com/Cisco-Talos/pyrebox/tree/master/docs/pyrebox_euskalhack.pdf .. _scripts: https://github.com/Cisco-Talos/pyrebox/tree/master/scripts .. _readthedocs.io: https://pyrebox.readthedocs.io/en/latest/ .. _questions: https://github.com/Cisco-Talos/pyrebox/issues?utf8=%E2%9C%93&q=is%3Aissue%20label%3Aquestion%20 .. _presentation: https://www.youtube.com/watch?v=F2voG87obzM .. _Contest: https://volatility-labs.blogspot.com/2017/11/results-from-5th-annual-2017-volatility.html

PyREBox est un bac à sable de rétro-ingénierie scriptable en Python. Il est basé sur QEMU et vise à faciliter la rétro-ingénierie en offrant des capacités d'analyse dynamique et de débogage d'un point de vue différent. PyREBox permet d'inspecter une machine virtuelle QEMU en cours d'exécution, de modifier sa mémoire ou ses registres, et d'instrumenter son exécution en créant des scripts simples en Python pour automatiser tout type d'analyse. QEMU (lorsqu'il fonctionne en tant qu'émulateur de système complet) émule un système entier (CPU, mémoire, périphériques...). En utilisant des techniques VMI, il ne nécessite aucune modification du système d'exploitation invité, car il récupère de manière transparente les informations de sa mémoire en temps réel.

Plusieurs projets académiques tels que DECAF_, PANDA_, S2E_ ou AVATAR_ ont déjà exploité l'instrumentation basée sur QEMU pour résoudre des tâches de rétro-ingénierie. Ces projets permettent d'écrire des plugins en C/C++ et implémentent plusieurs fonctionnalités avancées telles que l'analyse dynamique de flux (taint), l'exécution symbolique, ou même l'enregistrement et la relecture de traces d'exécution. Avec PyREBox, nous visons à appliquer cette technologie en nous concentrant sur la simplicité de conception et sur la convivialité du système pour les analystes de menaces.

PyREBox a remporté le Volatility Plugin Contest_ en 2017 !

Cet outil a été présenté à la conférence HITB Amsterdam 2018. Vous pouvez voir les slides_ ou regarder la présentation_. Il a également été présenté à la troisième édition du Congrès de Sécurité EuskalHack (slides disponibles_).

Quoi de neuf

N'oubliez pas de tirer la dernière version de PyREBox pour profiter de ses dernières fonctionnalités. PyREBox est en développement actif et de nouvelles fonctionnalités intéressantes sont encore à venir ! La branche master devrait toujours contenir une version stable, tandis que les branches de développement contiennent les dernières fonctionnalités en cours de développement. La liste d'annonces suivante fait référence à la branche master et à la date à laquelle les modifications de développement ont été fusionnées dans master.

• [5 déc. 2019] Version bêta de PyREBox3, prête sur la branche python3migration. L'outil a été porté vers Python3 et Volatility3. Les plugins n'ont pas encore été portés.
• [21 juin 2019] Mise à niveau de QEMU vers la version 4.0.0, avec support MTTCG (multi-threaded TCG). Remerciements spéciaux à @richsurgenor pour ses contributions précieuses à cette mise à niveau.
• [17 juin 2019] Fusion de la branche de développement (Malware monitor 2).
• [17 juin 2019] Automatisation du mouvement de la souris.
• [17 juin 2019] Mise à niveau de Volatility.
• [17 oct. 2018] Ajout de la fonction API pour obtenir l'heure système des invités Windows.
• [17 oct. 2018] Ajout du support des symboles dans la classe BP (point d'arrêt).
• [17 oct. 2018] Ajout du cache de symboles (fichier hôte). Voir les fichiers de configuration d'exemple (pyrebox.conf.WinXPSP3x86).
• [17 oct. 2018] Modification de la récupération des symboles pour obtenir les fichiers DLL depuis le disque.
• [10 oct. 2018] Ajout du support expérimental pour récupérer les pages mémoire non mappées.
• [10 oct. 2018] Ajout de l'intégration de The Sleuth Kit.
• [2 août 2018] Ajout de scripts d'exécution automatique.
• [26 juil. 2018] Mise en ligne des slides de la présentation EuskalHack 2018.
• [2 juil. 2018] Correctifs pour le support de CentOS 7.
• [25 juin 2018] Ajout des scripts présentés à EuskalHack 2018.
• [31 mai 2018] Mise à niveau vers Qemu v2.12.0.
• [29 mai 2018] Ajout de la possibilité d'appeler des fonctions de déclenchement (triggers) (en C/C++) depuis des scripts Python.
• [29 mai 2018] Modification du format des paramètres de rappel (callback). Voir la documentation. Le comportement par défaut est toujours l'ancien style.
• [28 avr. 2018] Création d'une branche de développement pour les fonctionnalités nouvelles et potentiellement instables dans PyREBox.
• [13 avr. 2018] Présentation de PyREBox à HITB Amsterdam (volet CommSec).
• [13 avr. 2018] Ajout de scripts de surveillance de malware (mw_mon).
• [8 mars 2018] Les triggers sont désormais appelés pour chaque processus du système (pas seulement les processus surveillés). Voir documentation.
• [8 mars 2018] Modification des paramètres des rappels de lecture/écriture mémoire. Voir documentation et exemples.
• [8 mars 2018] Ajout de points d'arrêt sur les adresses mémoire physiques en lecture/écriture.
• [8 mars 2018] Ajout de rappels pour le chargement et la suppression de modules.
• [2 nov. 2017] Ajout d'un agent invité pour Linux 32 et 64 bits.
• [23 oct. 2017] Ajout d'un agent invité pour Windows 32 et 64 bits.
• [11 oct. 2017] Ajout de l'analyse des symboles de module Linux.
• [22 sept. 2017] Ajout du support du rechargement de modules.
• [20 sept. 2017] Ajout d'un rappel de fonction personnalisée à la classe BP.
• [20 sept. 2017] Mise à niveau vers Qemu v2.10.0.
• [31 août 2017] Support partiel des invités Linux.

Installation

Un script de construction est fourni. Pour plus de détails sur les dépendances, veuillez consulter BUILD_. Nous fournissons également un Dockerfile.

Documentation

La documentation de ce projet est hébergée sur readthedocs.io_.

Bugs, questions et support

Si vous pensez avoir trouvé un bug, veuillez le signaler ici_.

Avant de créer un nouveau ticket, veuillez consulter les questions_ ouvertes par d'autres utilisateurs.

Ce programme est fourni "EN L'ÉTAT", et aucun support n'est garanti. Cela dit, pour nous aider à résoudre vos problèmes, veuillez inclure autant d'informations que possible pour reproduire le bug :

• Système d'exploitation utilisé pour compiler et exécuter PyREBox.
• La version spécifique du système d'exploitation et la cible d'émulation que vous utilisez.
• Commande shell / script / tâche que vous tentiez d'exécuter.
• Toute information sur l'erreur, telle que les messages d'erreur, la trace de pile Python (ou IPython), ou la trace de pile QEMU.
• Toute autre information pertinente.

Feuille de route

• Configuration et console de gestion des images de machines virtuelles.
• Support des architectures ARM, MIPS, et autres.
• Finalisation du support des systèmes invités GNU/Linux (voir les problèmes).

Démarrage d'une VM

PyREBox est basé sur QEMU. Pour démarrer une VM avec PyREBox, vous devez l'exécuter exactement comme si vous démarriez une VM QEMU. Deux scripts d'exemple sont fournis : start_i386.sh, start_x86_64.sh, vous pouvez les utiliser comme exemple.

La seule option du moniteur QEMU actuellement supportée est stdio (-monitor stdio).