 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

Vérificateur de hachages en ligne pour Virustotal et autres services
Florian Roth

Qu'est-ce que Munin ?

Munin est un utilitaire de vérification de hachages en ligne qui récupère des informations précieuses auprès de diverses sources en ligne

La version actuelle de Munin interroge les services suivants :

Capture d'écran

Mode par défaut - Lire les hachages depuis un fichier

Munin Screenshot

Utilisation

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Vérificateur de hachages en ligne

arguments optionnels :
  -h, --help            affiche ce message d'aide et quitte
  -f path               Fichier à traiter (hachage ligne par ligne OU csv avec hachage dans chaque ligne - détecte automatiquement la position et le commentaire)
  --vh search-string    Interroge Valhalla pour les hachages par mot-clé, tags, nom de règle YARA, logiciel Mitre ATT&CK (ex. S0154), technique (ex. T1023) ou groupe de menace (ex. G0049)
  --vhrule search-string
                        Interroge Valhalla pour les hachages via des règles par mot-clé, tags, nom de règle YARA, logiciel Mitre ATT&CK (ex. S0154), technique (ex. T1023) ou groupe de menace (ex. G0049)
  -o output             Fichier de sortie pour les résultats (CSV)
  --vtwaitquota         Ne pas continuer si le quota VT est dépassé mais attendre le jour suivant
  --vtminav min-matches
                        Nombre minimum de correspondances AV pour interroger les informations de hachage depuis VT
  --limit hash-limit    Quitter après avoir traité ce nombre de nouveaux hachages en mode batch (cache ignoré).
  --vhmaxage days       Âge maximum de l'échantillon sur Valhalla à traiter
  -c cache-db           Nom du fichier de base de données cache (par défaut : vt-hash-db.json)
  -i ini-file           Nom du fichier ini contenant les clés API
  -s sample-folder      Dossier contenant les échantillons à traiter
  --comment             Publie un commentaire pour le hachage analysé contenant le commentaire de la ligne de log
  -p vt-comment-prefix  Préfixe de commentaire Virustotal
  --download            Active le téléchargement d'échantillons depuis Hybrid Analysis. SHA256 de l'échantillon requis.
  -d download_path      Chemin de sortie pour le téléchargement d'échantillons depuis Hybrid Analysis. Le dossier doit exister
  --nocache             Ne pas utiliser le fichier de base de données cache
  --nocsv               Ne pas écrire de CSV avec les résultats
  --verifycert          Vérifier les certificats SSL/TLS
  --sort                Trier les lignes d'entrée
  --web                 Lancer Munin en tant que service web
  -w port               Port du service web
  --cli                 Lancer Munin en mode interface en ligne de commande
  --rescan              Déclencher une nouvelle analyse de chaque fichier analysé
  --debug               Sortie de débogage

Fonctionnalités

Récupère des informations précieuses de Virustotal via API (réponse JSON) et d'autres informations via permalien (analyse HTML)
Récupère des informations supplémentaires depuis une liste de plateformes
Conserve un historique (cache) pour n'interroger les services qu'une seule fois pour un hachage pouvant apparaître plusieurs fois dans le fichier texte
Les objets mis en cache sont stockés en JSON
Crée un fichier CSV avec les résultats pour un post-traitement et un rapport faciles
Ajoute les résultats à un CSV précédent si disponible

Affichages

Hachage et commentaire (le commentaire est le reste de la ligne dont le hachage a été extrait)
Correspondances de fournisseurs AV basées sur une liste définie par l'utilisateur
Noms de fichiers utilisés dans la nature
Informations PE comme la description, le nom de fichier original et la déclaration de copyright
Signataire d'un exécutable portable signé
Résultat basé sur le ratio Virustotal
Première et dernière soumission
Tags pour certains indicateurs : Inoffensif, Signé, Expiré, Révoqué, LogicielMicrosoft

Vérifications supplémentaires

Interroge Malshare.com pour les téléchargements d'échantillons
Interroge Hybrid-Analysis.com pour les rapports
Interroge plusieurs instances MISP pour les événements disponibles
Interroge le bac à sable Any.run pour les rapports
Interroge le bac à sable CAPE pour les rapports
Interroge URLhaus pour les rapports
Interroge Malshare pour les échantillons disponibles
Interroge Valhalla pour les correspondances de règles YARA
Doublons Imphash dans le lot actuel > vous permet de repérer les chevauchements dans les hachages de table d'importation
Vérifications de doublons de signature PE

Modes de fonctionnement

Par défaut - en fournissant un fichier d'entrée (-f) avec des hachages ou un répertoire d'échantillons (-s)
Requête - pour rechercher des hachages depuis Valhalla par mot-clé, tags, technique ATT&CK (ex. T1023), groupe de menace ATT&CK (ex. G0049) ou nom de règle (-q)
Interface en ligne de commande - en utilisant le paramètre --cli
Mode service web - en utilisant le paramètre --web

Pour commencer

Téléchargez / clonez le dépôt
Installez les paquets requis : pip3 install -r requirements.txt (sur macOS ajoutez --user)
Définissez les clés API pour les différents services dans votre fichier ini personnalisé cp munin.ini my.ini (voir section Obtenir les clés API pour de l'aide)
Utilisez le fichier de démonstration pour un premier essai : python munin.py -i my.ini -f munin-demo.txt

Prérequis

Python 3.7 et supérieur
Connexion Internet (support proxy ; l'interception SSL/TLS peut poser problème)

Lignes de commande typiques

Traiter un résultat Virustotal Retrohunt et trier les lignes avant la vérification afin que les signatures correspondantes soient vérifiées par blocs

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

Traiter un répertoire contenant des échantillons et vérifier leurs hachages en ligne

python3 munin.py -i my.ini -s ~/malware/case34

Utiliser le mode interface en ligne de commande (nouveau dans v0.14)

python3 munin.py -i my.ini

munin

Populaires