t-tani/yama-devEncore un analyseur de mémoire pour la détection de malwares
Encore un autre analyseur de mémoire pour la détection de logiciels malveillants
YAMA est un système de génération de scanner capable d'inspecter des logiciels malveillants spécifiques lors d'une réponse à incident. Le scanner généré par YAMA est conçu pour explorer la mémoire du système d'exploitation Windows et détecter les logiciels malveillants. Avec la prévalence croissante des logiciels malveillants sans fichier qui se déploient uniquement en mémoire, YAMA vise à faciliter une réponse rapide lors du traitement des incidents en détectant ces logiciels malveillants.
Le scanner YAMA fonctionne comme une application Windows en mode utilisateur, analysant les espaces mémoire des processus exécutés en mode utilisateur, scannant les espaces mémoire présentant des attributs suspects à l'aide de YARA, et identifiant les logiciels malveillants.
Tout d'abord, YAMA analyse chaque processus et extrait les informations suivantes :
Ensuite, YAMA détermine les espaces mémoire à inspecter en fonction des informations analysées. Ceci est fait pour sélectionner uniquement les espaces mémoire nécessaires et éviter les impacts sur les performances liés à la recherche sur l'ensemble de l'espace mémoire.
Enfin, YAMA inspecte les espaces mémoire ciblés à l'aide des règles YARA intégrées dans la section ressource du binaire.
En combinant des règles YARA disponibles sur des plateformes comme GitHub, il est possible de créer un scanner mémoire capable d'enquêter sur les traces de campagnes d'attaque ciblées spécifiques.
Par exemple, construire un scanner YAMA en utilisant la règle APT10 de JPCERTCC/jpcert-yara créerait un outil adapté à la chasse aux menaces de logiciels malveillants APT10.
JPCERTCC/jpcert-yara propose de nombreuses règles YARA compatibles avec diverses campagnes APT telles que APT10, APT29, BlackTech et Lazarus, ainsi que des règles pour différents types de logiciels malveillants. Il est fortement recommandé pour référence.
Référez-vous au Wiki.
Ce projet repose sur les logiciels open-source suivants pour fonctionner correctement :
Nous tenons à remercier ces dépôts GitHub qui ont inspiré et influencé notre projet :
