pegasus-malware-scan

Description

Pegasus Malware Scan est une solution complète de cybersécurité conçue pour la détection avancée des menaces et l'analyse des malwares. Construit avec Python, cet outil puissant utilise des techniques de détection multicouche pour identifier et neutraliser une large gamme de logiciels malveillants, des virus courants aux menaces persistantes avancées (APT) sophistiquées.

Qu'est-ce que Pegasus Malware Scan ?

Pegasus Malware Scan représente la prochaine génération d'outils de détection de malwares, combinant la vérification traditionnelle basée sur les hachages avec l'analyse comportementale moderne et des capacités d'apprentissage automatique. Contrairement aux solutions antivirus conventionnelles qui reposent principalement sur la détection par signature, Pegasus met en œuvre une approche hybride capable d'identifier à la fois les menaces connues et les malwares précédemment non découverts via la détection d'anomalies.

Avantages clés

• Léger mais puissant : Code optimisé garantissant une utilisation minimale des ressources système tout en offrant une protection complète
• Détection multicouche : Combine plusieurs méthodes de détection pour une efficacité maximale contre diverses menaces
• Prêt pour l'entreprise : Évolutif des systèmes individuels aux grands déploiements organisationnels avec gestion centralisée
• Personnalisable : Hautement configurable pour répondre à des exigences de sécurité spécifiques dans différents environnements
• Architecture ouverte : Conçu pour l'intégration avec l'infrastructure et les outils de sécurité existants

Cas d'utilisation

• Réponse aux incidents : Analyser rapidement les systèmes lors d'incidents de sécurité actifs pour identifier la présence de malwares
• Informatique légale : Analyser les fichiers et systèmes suspects pour recueillir des preuves pour les enquêtes de sécurité
• Renforcement des systèmes : Effectuer des analyses complètes pour garantir l'intégrité du système avant le déploiement
• Surveillance continue : Mettre en œuvre une protection continue contre les menaces évolutives dans les systèmes critiques
• Recherche en sécurité : Aider à l'analyse et à la recherche de malwares avec des capacités d'analyse détaillées

Spécifications techniques

• Langage : Construit avec Python 3.6+ pour une compatibilité multiplateforme
• Base de données : Utilise des bases de données NoSQL optimisées pour le stockage du renseignement sur les menaces
• Configuration système requise :
  • Minimum : 2 Go de RAM, 500 Mo d'espace disque, processeur monocœur
  • Recommandé : 4 Go de RAM, 1 Go d'espace disque, processeur multicœur
• Plateformes supportées : Windows, macOS, Linux (Ubuntu, CentOS, Debian)
• Intégration API : API RESTful pour l'intégration avec d'autres outils de sécurité
• Conteneurs : Support Docker pour un déploiement et une mise à l'échelle faciles

Architecture système

Pegasus Malware Scan utilise une architecture modulaire composée de plusieurs composants principaux :

1. Moteur d'analyse : Composant principal responsable de l'analyse des fichiers à l'aide de diverses méthodes de détection
2. Module de renseignement sur les menaces : Maintient une base de données mise à jour des menaces connues et des indicateurs de compromission
3. Sous-système d'analyse comportementale : Exécute et surveille les fichiers suspects dans un environnement sandboxé
4. Système de rapports et d'alertes : Génère des rapports détaillés et envoie des notifications concernant les menaces détectées
5. Console de gestion : Fournit une interface unifiée pour la configuration et la surveillance
6. Couche d'intégration : Facilite la communication avec les systèmes externes et les outils de sécurité

La conception modulaire permet des mises à jour et des extensions faciles des fonctionnalités sans nécessiter de modifications du système principal.

Scénarios de déploiement

Pegasus Malware Scan prend en charge plusieurs scénarios de déploiement pour répondre aux différents besoins organisationnels :

• Déploiement autonome : Installer directement sur des terminaux individuels pour une protection indépendante
• Modèle client-serveur : Serveur de gestion centralisé avec des agents légers déployés sur les terminaux
• Déploiement basé sur le cloud : Modèle SaaS avec gestion et analyses hébergées dans le cloud
• Déploiement hybride : Combinaison de composants sur site et cloud pour des performances optimales
• Réseaux isolés : Options de déploiement spéciales pour les environnements de haute sécurité isolés

Conformité et normes de sécurité

Pegasus Malware Scan est conçu pour aider les organisations à répondre aux exigences de conformité en matière de sécurité dans plusieurs cadres :

• Prend en charge la conformité avec le RGPD, HIPAA, PCI DSS et le cadre de cybersécurité du NIST
• Suit les meilleures pratiques de sécurité OWASP pour un développement sécurisé
• Met en œuvre des pratiques appropriées de traitement des données pour les informations sensibles
• Fournit des pistes d'audit adaptées aux rapports de conformité
• Mis à jour régulièrement pour répondre aux normes de sécurité émergentes

Notes originales du projet

• Scanner de malwares très basique par comparaison de hachages
• Parfois nécessaire lors d'une réponse à incident.
• Si vous trouvez des fichiers nouveaux ou suspects lors de votre réponse, vous voudrez vérifier où ces fichiers existent dans les systèmes. Alors vous pourriez avoir besoin de cet outil. Ceci est une version démo. Pas complète. Vous devez modifier et adapter le code pour le rendre vôtre.
• Faites-moi savoir si des modifications sont nécessaires ou si des fonctionnalités supplémentaires sont requises.
• Et appuyez sur "étoiles" si cela aide. Alors cela continuera à s'améliorer.

Auteur

• Letda Kes dr. Muhammad Sobri Maulana, S.Kom, CEH, OSCP, OSCE
• GitHub: github.com/sobri3195
• Contact: [email protected]

Don

Soutenez ce projet : https://lynk.id/muhsobrimaulana

Fonctionnalités

Capacités de numérisation de base

• Inspection de fichiers basée sur le hachage (hachages gratuits de malwares) : Utilise des bases de données de hachages de malwares gratuites pour identifier les fichiers malveillants connus en comparant leurs hachages cryptographiques sans nécessiter de détection par signature.
• Analyse incluant les sous-répertoires : Parcourt et analyse automatiquement tous les sous-répertoires du chemin cible pour une couverture complète des systèmes de fichiers.
• Tâches multithread : Utilise le traitement parallèle pour analyser plusieurs fichiers simultanément, réduisant considérablement le temps d'analyse total sur les systèmes multi-cœurs.
• Définir les extensions de fichiers à analyser : Permet aux utilisateurs de personnaliser les types de fichiers à analyser, en concentrant les ressources sur les formats de fichiers potentiellement exécutables ou dangereux.
• Définir les répertoires à ne pas analyser : Permet d'exclure des répertoires spécifiques pour éviter l'analyse dans des zones sensibles ou pour améliorer les performances.

Intégration et rapports

• Facile à attacher les scan_logs au SIEM (ex : Splunk) : Génère des journaux dans un format pouvant être directement ingéré par les systèmes de gestion des informations et des événements de sécurité pour une surveillance centralisée.
• Exporter les résultats d'analyse en plusieurs formats (CSV, JSON, XML) : Prend en charge divers formats d'exportation pour l'intégration avec différents outils d'analyse et systèmes de rapports.
• Notifications par e-mail pour les menaces détectées : Envoie automatiquement des alertes lorsque des fichiers malveillants sont découverts, garantissant une sensibilisation immédiate aux incidents de sécurité.
• Tableau de bord d'analyse et de rapports détaillés sur les menaces : Fournit des visualisations et des métriques complètes sur les résultats d'analyse, les distributions de menaces et l'état de sécurité du système.

Fonctionnalités avancées de détection

• Capacité d'analyse en temps réel pour la surveillance active : Surveille en continu les activités du système de fichiers pour détecter les menaces dès leur apparition sans attendre les analyses planifiées.
• Intégration avec des plateformes de renseignement sur les menaces basées sur le cloud : Se connecte à des services externes de renseignement sur les menaces pour améliorer les capacités de détection avec des informations à jour.
• Analyse comportementale des fichiers suspects : Examine comment les fichiers se comportent lorsqu'ils sont exécutés dans un environnement contrôlé pour identifier les modèles malveillants que l'analyse statique pourrait manquer.
• Exécution en sandbox pour les fichiers inconnus : Exécute les fichiers suspects dans un environnement isolé pour observer en toute sécurité leur comportement et déterminer s'ils sont malveillants.
• Analyse de la mémoire pour la détection des malwares sans fichier : Identifie les malwares qui opèrent uniquement en mémoire sans écrire de fichiers sur le disque, détectant ainsi les menaces avancées qui contournent l'analyse traditionnelle.
• Analyse du registre pour les systèmes Windows : Examine le registre Windows pour détecter les entrées suspectes qui pourraient indiquer des mécanismes de persistance de malwares.
• Identification et classification des familles de malwares : Catégorise les malwares détectés en familles pour fournir un contexte sur la menace, ses capacités et ses impacts potentiels.

Fonctionnalités de gestion

• Code/structure de fonctions facile à manipuler et à modifier : Conçu avec une architecture modulaire permettant une personnalisation et une extension faciles des fonctionnalités.
• Analyse planifiée avec fréquence personnalisable : Permet aux utilisateurs de configurer des analyses récurrentes à des intervalles souhaités (horaire, quotidien, hebdomadaire) pour maintenir la sécurité du système.
• Analyse à distance des appareils en réseau : Étend les capacités d'analyse sur le réseau pour protéger tous les appareils connectés à partir d'un point de gestion centralisé.
• Analyse et surveillance des périphériques USB : Détecte et analyse automatiquement les périphériques USB lorsqu'ils sont connectés pour empêcher l'introduction de malwares via des supports amovibles.
• Capacités de mise en quarantaine du système pour les fichiers infectés : Isole en toute sécurité les malwares détectés pour empêcher leur exécution et leur propagation tout en permettant une analyse plus approfondie.
• Politiques d'analyse personnalisables et actions de réponse aux menaces : Permet aux administrateurs de définir la manière dont le système réagit à différents types de menaces, de l'alerte à la correction automatique.

v1.0.5

• https://github.com/sobri3195/pegasus-malware-scan/blob/main/CHANGES

Aperçu

Journal des résultats de numérisation

• datetime, scan_id, os, hostname, ip, file.........hash,

datetime="2022-12-23 13:52:45",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\chrome.exe",sha256="45de9f5a25bf478c6a8d8625a984895c9b3fdea6eb12a55ddd088dcebd9df5ab",created_at="2022-05-02 21:33:38",modified_at="2022-04-14 06:17:04"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineLauncher.exe",sha256="60fd9ceac8d1c40e835d3dc9aa77599d3f810a646199ecbdcb8003521ce7d502",created_at="2022-05-10 12:38:18",modified_at="2022-03-10 18:00:10"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineUpdater.exe",sha256="6b663f9f7bf3b6c1a2ce898b2402b691fff6dced36e9b0196e152bbfc409db42",created_at="2022-05-10 12:38:22",modified_at="2022-04-06 10:06:28"
datetime="2022-12-23 13:52:47",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\PCHunter32.exe",sha256="0544b99c52d607712d70351c6d9afb1fba6adb0de256baf662f06fdf6058aa3d",created_at="2022-05-10 11:36:04",modified_at="2017-08-14 02:27:08"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\report.xlsx",sha256="dd1dc1cb4ffa3e1b91f00496436416807f6153d53ac45e67ce1287c842bd5e3e",created_at="2022-04-27 23:53:33",modified_at="2021-09-07 10:52:40"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\TWOD_Launcher.exe",sha256="1d55ab0a703f2b8f5cc0d3cc93bedf7c03799b2b3e42defc83c175da8a125962",created_at="2022-04-27 23:54:50",modified_at="2022-04-07 09:14:08"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\unins000.exe",sha256="2da3b504c2b68219c0b4c6f062867dae091560c3f1e0735f1a7b17b1d79b5a90",created_at="2022-04-27 23:54:53",modified_at="2022-04-26 12:19:01"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\vmware-view.exe",sha256="17b21902170784d460fd0168e08f6e2075d6eb0a501093bc35184c550d73b5d8",created_at="2022-05-10 12:38:38",modified_at="2020-07-07 18:08:06"