J'ai écrit un nouveau scanner YARA open source appelé LOKI RS (Rust). LOKI (Python) est désormais officiellement déprécié.

Note Importante

Ce projet est maintenant en mode de maintenance inactive. Cela signifie que bien que je fusionne les pull requests pour les corrections de bugs et les problèmes simples, je manque actuellement de temps pour ajouter de nouvelles fonctionnalités ou étendre les existantes. Depuis des années, mon attention s'est portée sur le développement d'un scanner plus avancé, THOR, qui offre une série d'améliorations par rapport à ce projet. Une version gratuite, THOR Lite, est disponible ; elle est plus rapide, plus stable et rigoureusement testée dans nos environnements CI — tout simplement une meilleure solution. Vous pouvez trouver une comparaison des scanners open source, gratuits et commerciaux ici.

J'ai également commencé à travailler sur une version de LOKI basée sur Rust appelée LOKI 2. Cependant, je ne sais pas quand elle atteindra la parité fonctionnelle avec la version actuelle de LOKI. De plus, j'ai créé un organigramme pour vous aider à décider quel scanner correspond le mieux à vos besoins.

Loki - Scanner simple d'IOC et de YARA

Scanner pour indicateurs simples de compromission

La détection est basée sur quatre méthodes de détection :

1. IOC de nom de fichier
   Correspondance regex sur le chemin/nom complet du fichier

2. Vérification de règle Yara
   Correspondance de signature Yara sur les données de fichiers et la mémoire des processus

3. Vérification de hachage
   Compare des hachages malveillants connus (MD5, SHA1, SHA256) avec les fichiers scannés
   
4. Vérification de connexion retour C2
   Compare les points de terminaison de connexion des processus avec les IOC C2 (nouveau depuis la version v.10)
   

Vérifications supplémentaires :

1. Vérification du système de fichiers Regin (via --reginfs)
2. Vérification d'anomalies de processus (basée sur [Sysforensics](http://goo.gl/P99QZQ)
3. Scan SWF décompressé (nouveau depuis la version v0.8)
4. Vérification de vidage SAM

Le binaire Windows est compilé avec PyInstaller et devrait s'exécuter comme une application x86 sur les systèmes x86 et x64.

Comment exécuter LOKI et analyser les rapports

Exécution

• Téléchargez la version la plus récente de LOKI depuis la section releases
• Extrayez le dossier du programme
• Exécutez loki-upgrader.exe sur un système avec accès Internet pour récupérer les dernières signatures
• Apportez le dossier du programme sur le système cible à scanner : support amovible, partage réseau, dossier sur le système cible
• Ouvrez une invite de commande "cmd.exe" en tant qu'Administrateur et exécutez-le à partir de là (vous pouvez aussi exécuter LOKI sans privilèges administratifs mais certaines vérifications seront désactivées et les objets pertinents sur le disque ne seront pas accessibles)

Rapports

• Le rapport résultant affichera une ligne de résultat VERTE, JAUNE ou ROUGE.
• Veuillez analyser les résultats vous-même en :
  1. téléchargeant des échantillons non confidentiels sur Virustotal.com
  2. Recherchez le nom de fichier sur le web
  3. Recherchez sur le web des mots-clés du nom de règle (ex. EQUATIONGroupMalware_1 > rechercher "Equation Group")
  4. Recherchez le hachage MD5 de l'échantillon sur le web
• Veuillez signaler les faux positifs via la section "Issues", accessible depuis la barre latérale droite (mentionnez l'indicateur de faux positif comme un hachage et/ou un nom de fichier ainsi que le nom de la règle qui a déclenché)

Prérequis

Aucun prérequis si vous utilisez l'EXE compilé.

Si vous voulez le compiler vous-même :

• yara : Il est recommandé d'utiliser la version la plus récente des paquets compilés pour Windows (x86) - Téléchargez-le ici : https://github.com/VirusTotal/yara-python/releases
• colorama : pour ajouter de la couleur
• psutil : vérifications de processus
• pywin32 : conversions de chemins (PyInstaller problème ; Windows uniquement)

Utilisation