Ce projet automatise les tâches quotidiennes du rôle d'Analyste en Renseignement sur les Menaces en interne sans interaction avec des ressources externes. Il analyse, visualise et structure des fichiers sensibles (malwares) ou des données en extrayant des caractéristiques, des artefacts et des IoC à l'aide de différents modules. La sortie de ces modules peut être facilement intégrée dans vos plateformes de recherche ou SOC.
Installation
git clone https://github.com/qeeqbox/analyzer.git && cd analyzer && chmod +x run.sh && ./run.sh auto_configure
Interface
Sortie
Fonctionnalités
- S'exécute localement (hors ligne)
- Analyse un buffer, un fichier ou un dossier complet
- Analyse en temps réel (session sauvegardée)
- 2 modes (interactif et silencieux)
- Génère du HTML ou du JSON en sortie
- Exporte le fichier de sortie avec les détails vers MongoDB
- Sauvegarde le résultat JSON brut dans MongoDB
- Informations de base sur le fichier : MD5, charset, mime, ssdeep
- Différentes méthodes d'analyse de chaînes/modèles
- Service web et API
- Ports, indices IPS et description des pays
- Image mondiale des IPS et drapeaux
- Description des serveurs DNS (Top serveurs)
- Image orientée par force des artefacts
- Image orientée par force et tableau de références croisées
- Image de similarité divisée en classes
- Module YARA, et règles YARA depuis yara-rules-github
- Le module YARA inclut conditions et tags par index
- Liste blanche implémentée (fichiers Windows 7, 8 et 10)
- Vérifie WAF et contournement proxy
- Vérification orthographique et de ponctuation
- Mots de phishing courants inclus
- Support Snort
- Modules PDF, RTF, Phishing, MS Office et HTML
- Détection de mots anglais NL
- Détection de mots OCR
- Détection de similarité de sites web (Top 10000)
- Détection BOM (Byte Order Mark)
- Détection d'outils et de modèles MITRE ATT&CK (peut être des faux positifs)
- Extraction de raccourcisseurs d'URL
- Extraction ASCII depuis UNICODE
- Extraction d'emails gratuits/faux
- Extraction de motifs de balises URL, EMAIL et TEL
- Extraction de motifs de cartes de crédit, identifiants et secrets
- Extraction de motifs de chiffrement (base64, md5, sha1...)
- Extraction de motifs DGA (Algorithme de génération de domaines)
Modules
- Wrapper Linux - Informations ELF, descriptions des fonctions API, descriptions des commandes système, descriptions des sections, descriptions des bibliothèques, détection de section chiffrée, extraction de symboles, artefacts MITRE mappés à la détection, détection de références croisées, détection de comportement
- Wrapper Windows - Informations PE, détection de section chiffrée, descriptions des sections, descriptions des DLL, extraction de symboles, extraction et validation de signature, descriptions API, détection ASLR, DEP, SEH et CFG du PE, artefacts MITRE mappés à la détection, détection de comportement API, injection DLL, Process Hollowing, Process Doppelganging etc., détection de références croisées, extraction d'icônes, extraction des informations de chaîne de fichier, FileDescription, etc.
- Wrapper Android - Informations APK, informations DEX, descriptions du manifeste, descriptions des intentions, extraction de ressources, extraction de symboles, extraction de classes, identification de grandes fonctions, détection de références croisées, détection de comportement API
- Intégré iPhone - Informations IPA
- Intégré BlackBerry COD - Informations COD, extraction de fonctions, extraction de chaînes
- Wrapper PCAP - Filtre de trames, filtre HTTP, filtre DNS, filtre ARP, détection WAF, détection DGA, analyse Snort
- Intégré PDF - Énumération d'objets, clés, javascript, js, OpenAction, extraction, analyse de flux, analyse de chaînes
- Intégré et wrapper Office - Extraction d'informations méta, extraction de liens hyper et cibles, analyseur de binaire imprimable, extraction de texte, extraction DDE, extraction de macros
- Wrapper OLE - Nombre d'objets, extraction d'objets, extraction de macros
- Intégré et wrapper EMAIL - Informations d'en-tête, extraction et analyse des pièces jointes, extraction du corps, vérification des motifs de phishing
- Wrapper Archives - Extraction des types MIME et estimation par extensions, recherche de motifs dans tous les fichiers décompressés, détection d'archives chiffrées
- Wrapper HTML - Extraction de scripts, iframes, liens et formulaires, décodage/analyse des liens, entropie des scripts
- Quelques motifs - AWS Clint ID, Amazon MWS Auth Token, Amazon S3, ALIYUN OSS, AZURE Storage, Facebook Access Token, Github Token, Goole API Key, Google CAPTCHA, Google OAuth, Google Secret, Google OAuth Access Token, Mailgun API Key, MailChimp API, Picatic API, Slack Token, Square Access Token, Square OAuth Secret, Stripe API, Twilio API, Twilio SID
Configuration automatique en un clic
git clone https://github.com/qeeqbox/analyzer.git
cd analyzer
chmod +x run.sh
./run.sh auto_configure
The project interface http://127.0.0.1:8000/login/ will open automatically after finishing the initialization process
Ou, si vous avez déjà docker-compose
docker-compose -f docker-compose-dev.yml up --build
Then open http://127.0.0.1:8000/login/
Prérequis
apt-get install -y python3 python3-pip curl libfuzzy-dev yara libmagic-dev libjansson-dev libssl-dev libffi-dev tesseract-ocr libtesseract-dev libssl-dev swig p7zip-full radare2 dmg2img mongodb redis
pip3 install pyelftools macholib python-magic nltk Pillow jinja2 ssdeep pefile scapy r2pipe pytesseract M2Crypto requests tld tldextract bs4 psutil pymongo flask pyOpenSSL oletools extract_msg
Les paquets prérequis sont nécessaires pour certains modules (Si vous rencontrez des problèmes avec ces paquets, je pourrais peut-être partager avec vous mes propres alternatives que j'ai développées par le passé en C#\C)
Feuille de route
- Analyse Java (demandée par les utilisateurs)
- Détection web
- Ajout de wrappers nom d'utilisateur et mot de passe aux bases de données
- Nettoyage CSS
Ressources
Documentation Linux, documentation MacOS, documentation Windows, documentation Android, software77, MITRE ATT&CK™, sc0ty, hexacorn, PEID, steren, bacde, cisco umbrella, communauté de règles YARA, DES TONNES DE RECHERCHES
Autres Licences
En utilisant ce framework, vous acceptez les termes de licence de tous ces paquets : yara, Yara-Rules, tesseract-ocr, swig, radare, vu1tur, oletools, mongodb, supervisor, msg-extractor, snort, pyelftools, macholib, pefile, scapy, python-magic, flask, werkzeug, gunicorn, flask-mongoengine, flask-admin, flask-login, flask-bcrypt, pyopenssl, flask-markdown, tld, psutil, gevent, dateutil, requests, pymongo, BeautifulSoup, tldextract, m2crypto, radare2, ssdeep, jinja2, Pillow, nltk, p7zip, redislabs, redis-py
Avertissement\Notes
- Ne pas déployer sans configuration appropriée
- Configurez des règles de groupe de sécurité et supprimez les identifiants par défaut
- Ce projet n'est PAS un projet anti-malware et ne met pas en quarantaine ni ne supprime les fichiers malveillants
- Ce projet a été développé pour analyser des données classifiées et entraîner une IA localement sans interaction internet/externe
- Veuillez me faire savoir si j'ai oublié une ressource ou une dépendance
Autres Projets
