IRFuzz - Scanner simple avec règles Yara

IRFuzz est un scanner simple avec règles Yara pour les archives de documents ou tout fichier.

Installation

1. Prérequis

Linux ou OS X

• Yara : utilisez simplement le code source de la dernière version, compilez et installez-le (ou installez-le via pip install yara-python)
• Règles Yara - Vous pouvez télécharger des règles Yara depuis ici ou importer votre propre ensemble de règles personnalisées.
• Dépendances Python

Les dépendances sont gérées avec pipenv. Pour commencer, installez les dépendances et activez l'environnement virtuel avec les commandes suivantes :

$ pipenv install

$ pipenv shell

Exécution d'IRFuzz - Watchd

Exécution d'IRFuzz

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

Fonctionnalités prises en charge

• Analyse les nouveaux fichiers avec inotify
• Interrogation (polling) si inotify n'est pas pris en charge
• Extensions personnalisées prises en charge
• Mode suppression supprimera le fichier correspondant
• Analyse récursive des répertoires
• Liste les fonctions Yara correspondantes avec yarastrings et ctime
• Résultats CSV pour Filebeat

Extensions personnalisées

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

Alerte correspondant à une règle Yara

Générez un jeton depuis https://irfuzz.com/tokens

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

Configurez les alertes depuis le site web vers Telegram ou votre email.

Supprimer le fichier correspondant

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

Interrogation (polling) (inotify non pris en charge)

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

Ajoute l'option --poll pour forcer l'utilisation du mécanisme d'interrogation afin de détecter les changements dans le répertoire de données. L'interrogation est plus lente que le mécanisme sous-jacent du système d'exploitation pour détecter les changements, mais elle est nécessaire avec certains systèmes de fichiers comme les montages SMB.

Extensions par défaut si aucune extension n'est mentionnée.

Formats de fichiers pris en charge par Microsoft Office Word

.doc .docm .docx .docx .dot .dotm .dotx .odt

Formats de fichiers pris en charge par Microsoft Office Excel

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

Formats de fichiers pris en charge par Microsoft Office PowerPoint

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

IRFuzz utilise zipdump.py pour l'analyse des fichiers zip.