Automation FOrensics Tool

L'Automation FOrensics Tool (AFOT) est un outil d'automatisation construit en Python et utilisé pour la criminalistique Windows afin de combiner les outils suivants :

• AnalyzePESig (http://didierstevens.com/files/software/AnalyzePESig_V0_0_0_2.zip)
• National Software Reference Library reduced set (http://www.nsrl.nist.gov/RDS/rds_2.52/rds_252m.zip)
• NSRL Tool (http://didierstevens.com/files/software/nsrl_V0_0_2.zip)
• VirusTotal Search Tool (http://didierstevens.com/files/software/virustotal-search_V0_1_2.zip)

Prérequis

Le script utilise Python version 2.7, mais il fonctionnera très probablement avec Python 3. Vous devez avoir PIP installé sur votre système. Veuillez consulter la documentation Python pour plus de détails.

Vous devez avoir votre propre clé API VirusTotal. Créez simplement un compte sur le site VirusTotal et récupérez la clé API. Ajoutez-la ensuite comme valeur de __VIRUSTOTALAPIKEY__.

Utilisation

Exécutez simplement python afot.py dans votre terminal.

Procédure

La procédure est assez simple :

• L'utilisateur fournit le chemin, qui sera utilisé pour analyser tous les exécutables inclus dans ces dossiers/sous-dossiers.
• AnalyzePESig recherche les exécutables signés dont le certificat sera bientôt révoqué.
• AFOT collectera tous les exécutables non signés et les recoupera avec la base de données de hashset de NSRL, en utilisant l'outil NSRL.
• Enfin, et surtout, si des hashs sont également trouvés dans la base de données de hashset de NSRL, nous recoupons ces hashs avec VirusTotal, en utilisant l'outil VirusTotal Search.

Contribuer

Veuillez consulter CONTRIBUTING pour plus de détails.

Licence

La licence MIT (MIT). Veuillez consulter le fichier de licence pour plus d'informations.