Detection-Validation

उद्देश्य

यह टूल वास्तविक प्रोसेस सेटअप से गुजरे बिना दुर्भावनापूर्ण प्रोसेस इवेंट्स का अनुकरण करने की प्रक्रिया को स्वचालित करता है।

मान लीजिए आप w3wp.exe द्वारा Powershell स्पॉन करने का परीक्षण करना चाहते हैं, तो आपको w3wp.exe इवेंट्स का अनुकरण करने के लिए iis सेटअप से गुजरना होगा, जो कि कई नियमों को मान्य करने पर एक समय लेने वाला कार्य है। चूँकि डिटेक्शन इंजन Sysmon या EDR जैसे टेलीमेट्री संग्रह टूल्स से सरल स्ट्रिंग मिलान के आधार पर काम करते हैं, कोई भी बाइनरी जिसमें समान पैरेंट प्रोसेस नाम, चाइल्ड प्रोसेस नाम, कमांडलाइन और पथ हो, तर्क का परीक्षण करने के लिए इस्तेमाल की जा सकती है, इसलिए व्यवहार का अनुकरण करने के लिए iis सेटअप करने की आवश्यकता नहीं है।

यह टूल आपको कस्टम पैरेंट, चाइल्ड, कमांडलाइन और पथ के साथ एक चाइल्ड प्रोसेस बनाने की सुविधा देता है। इसके अलावा कुछ अन्य इवेंट्स भी हैं, जैसे किसी विशिष्ट प्रोसेस और पथ से फ़ाइल निर्माण, DNS क्वेरी, रजिस्ट्री, और प्रोसेस कनेक्शन।

NAME:
   Malware Cli - A new cli application

USAGE:
   main.exe [global options] command [command options] [arguments...]

DESCRIPTION:
   Detection validation tool.
   The objective is to generate event with specific conditions to validate detection rule.
   You can execute commands such as w3wp.exe spawning shell or winword creating file or making DNS queries.

COMMANDS:
   argsfree    Accept any commandline
   connect     Connect to host
   download    Download file
   dnsquery    Resolve DNS
   execute     Execute command with custom commandline and parent process
   encrypt     encrypt all files in a folder that match a pattern
   createfile  Create file at a spcific path
   reg         Add registry key
   help, h     Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --help, -h  show help

उदाहरण

winword.exe द्वारा cscript.exe स्पॉन करना

 mcli.exe execute --parent winword.exe --command cscript.exe

rundll32.exe द्वारा DNS अनुरोध करना

mcli.exe dnsquery --binpath c:\temp\rundll32.exe --host malicious.com

w.exe द्वारा C:\temp पथ से फ़ाइल बनाना

mcli.exe createfile --path f.dat --binpath c:\temp\w.exe

स्थापना

Windows (Powershell)

प्रारंभिक आवश्यकताओं को डाउनलोड करने और निष्पादन जांचने के लिए ऐप चलाएँ

go run .

ऐप कंपाइल करें

go build -o mcli.exe .