mnrkbys/norimaciSandbox légère d'analyse de logiciels malveillants pour macOS qui surveille l'activité système via OpenBSM ou Monitor.app, générant des rapports détaillés et des chronologies des événements de fichiers, de processus et de réseau.
« Norimaci » est un bac à sable simple et léger pour l'analyse de logiciels malveillants sous macOS. Cet outil s'inspire de « Noriben ». Norimaci utilise les fonctionnalités d'OpenBSM ou de Monitor.app pour surveiller l'activité du système macOS, à la place de Sysinternals Process Monitor (procmon).
Norimaci se compose de 3 scripts Python.
OpenBSM est un framework d'audit des activités sous macOS. Veuillez consulter leur site web pour plus de détails.
Monitor.app est un outil gratuit développé par FireEye. Veuillez consulter leur site web pour plus de détails.
Mon ancien collègue (@cci_forensics) a suggéré ce nom.
« Norimaci » est un mot-valise combinant « Noriben » et « Macintosh ». Il se prononce « Norimaki » et représente « のり巻き » en japonais. En anglais, cela signifie « sushi roll » (rouleau de sushi).
Le noriben est une boîte-repas de style japonais composée d'ingrédients minimaux. Les ingrédients du norimaki sont similaires à ceux du noriben (algue, riz et autres ingrédients selon vos préférences).
J'ai donc décidé de nommer cet outil « Norimaci ».
Note : Monitor.app ne prend en charge que macOS 10.12 – 10.14. Vous n'avez pas besoin de l'installer si vous souhaitez exécuter des logiciels malveillants sur macOS 10.15 ou version ultérieure. Vous devez utiliser OpenBSM à la place.
Si vous utilisez Norimaci avec Monitor.app, vous devez installer les bibliothèques suivantes depuis leurs dépôts sources ou via pip.
Vous devez créer une VM macOS pour exécuter les échantillons de logiciels malveillants. De plus, il est fortement recommandé de créer une autre VM pour les connexions Internet factices. En effet, de nombreux logiciels malveillants tentent de se connecter à leurs serveurs (par exemple, les serveurs C2).
PolarProxy et INetSim sont des outils très utiles pour fournir des services DNS et HTTP/HTTPS factices. Veuillez consulter le blog NETRESEC pour configurer un Internet factice.
Si vous utilisez OpenBSM pour surveiller les activités du système, vous devez modifier le fichier /etc/security/audit_control comme ci-dessous. En effet, par défaut, OpenBSM n'enregistre que les journaux d'audit relatifs à la connexion et à l'authentification. Mais Norimaci a besoin de davantage de types de journaux d'audit (création de fichier, suppression de fichier, exécution de processus, mise en réseau, etc.).
L'ordinateur doit être redémarré après la modification pour appliquer le paramètre.
#
# $P4: //depot/projects/trustedbsd/openbsm/etc/audit_control#8 $
#
dir:/var/audit
flags:lo,aa,fc,fd,pc,nt,ex <- modifier ici comme ceci
minfree:5
naflags:lo,aa,fc,fd,pc,nt,ex <- modifier ici comme ceci
policy:cnt,argv
filesz:2M
expire-after:10M
superuser-set-sflags-mask:has_authenticated,has_console_access
superuser-clear-sflags-mask:has_authenticated,has_console_access
member-set-sflags-mask:
member-clear-sflags-mask:has_authenticated
$ sudo python3 ./norimaci.py -m openbsm -o ./out/
Password:
--===[ Norimaci v0.1.0
--===[ Minoru Kobayashi [@unkn0wnbit]
[*] Launching OpenBSM agent...
[*] When runtime is complete, press CTRL+C to stop logging.
^C
[*] Termination of OpenBSM agent commencing... please wait
[*] Converting OpenBSM data ...
[*] Loading converted macOS activity data ...
[*] Saving report to: /Users/macforensics/tools/norimaci/out/Norimaci_14_Jan_20__15_55_093219.txt
[*] Saving timeline to: /Users/macforensics/tools/norimaci/out/Norimaci_14_Jan_20__15_55_093219_timeline.csv
Note : Monitor.app ne peut pas s'exécuter sur macOS 10.15, mais il fonctionne correctement sur macOS 10.14 ou version antérieure.
$ python3 ./norimaci.py -h
--===[ Norimaci v0.1.0
--===[ Minoru Kobayashi [@unkn0wnbit]
usage: norimaci.py [-h] [-m MONITOR] [-j JSON] [-bl OPENBSM_LOG] [-p PROCLIST]
[-ml MONITORAPP_LOG] [-o OUTPUT] [--force] [--debug]
Light weight sandbox which works with OpenBSM or Fireeye's Monitor.app
optional arguments:
-h, --help show this help message and exit
-m MONITOR, --monitor MONITOR
Specify a program to monitor macOS activity. You can
choose 'openbsm' or 'monitorapp'.
-j JSON, --json JSON Path to a JSON file which is converted by
'openbsmconv.py' or 'monitorappconv.py'.
-bl OPENBSM_LOG, --openbsm-log OPENBSM_LOG
Path to an OpenBSM log file.
-p PROCLIST, --proclist PROCLIST
Path to a process list file to process OpenBSM log
file. A file which has ".proclist" extnsion would be
used, if this option is not specified.
-ml MONITORAPP_LOG, --monitorapp-log MONITORAPP_LOG
Path to a Monitor.app data file.
-o OUTPUT, --output OUTPUT
Path to an output directory.
--force Enable to overwrite output files.
--debug Enable debug mode.
$ python3 ./openbsmconv.py -h
usage: openbsmconv.py [-h] [-f FILE] [-p PROCLIST] [-o OUT] [-c] [-rp]
[--with-failure] [--with-failure-socket] [--force]
[--debug]
Converts OpenBSM log file to JSON format.
optional arguments:
-h, --help show this help message and exit
-f FILE, --file FILE Path to a bsm log file
-p PROCLIST, --proclist PROCLIST
Path to a process list file
-o OUT, --out OUT Path to an output file
-c, --console Output JSON data to stdout.
-rp, --use-running-proclist
Use current running process list instead of a existing
process list file. And, the process list is saved to a
file which places in the same directory of '--file' or
to a file which specified '--proclist'.
--with-failure Output records which has a failure status too.
--with-failure-socket
Output records which has a failure status too (related
socket() syscall only).
--force Enable to overwrite an existing output file.
--debug Enable debug mode.
$ python3 ./monitorappconv.py -h
usage: monitorappconv.py [-h] [-f FILE] [-o OUT] [-c] [--force] [--debug]
Parses data of Fireeye Monitor.app and converts it to JSON format. Please note
that strings in JSON data are saved as UTF-8.
optional arguments:
-h, --help show this help message and exit
-f FILE, --file FILE Path to a saved data of Monitor.app.
-o OUT, --out OUT Path to an output file.
-c, --console Output JSON data to stdout.
--force Enable to overwrite an output file.
--debug Enable debug mode.
Analyse d'AppleJeus.A sur macOS 10.15 Catalina avec Norimaci. Cette vidéo de démonstration a été réalisée pour la Japan Security Analyst Conference 2020 (JSAC2020).
git clone https://github.com/mnrkbys/norimaci.git