Norimaci

"Norimaci" macOS के लिए एक सरल और हल्का मैलवेयर विश्लेषण सैंडबॉक्स है। यह उपकरण "Noriben" से प्रेरित था। Norimaci, Sysinternals Process Monitor (procmon) के बजाय macOS सिस्टम गतिविधि की निगरानी के लिए OpenBSM या Monitor.app की सुविधाओं का उपयोग करता है।

Norimaci में 3 Python स्क्रिप्ट शामिल हैं।

• norimaci.py : मुख्य स्क्रिप्ट
• openbsmconv.py : OpenBSM ऑडिट लॉग कनवर्टर
• monitorappconv.py : Monitor.app डेटा कनवर्टर

OpenBSM macOS पर गतिविधियों का ऑडिट करने के लिए एक ढांचा है। कृपया विवरण के लिए उनकी वेबसाइट देखें।

Monitor.app FireEye द्वारा बनाया गया एक मुफ्त उपकरण है। कृपया विवरण के लिए उनकी वेबसाइट देखें।

"Norimaci" क्यों?

मेरे पूर्व सहकर्मी (@cci_forensics) ने यह नाम सुझाया।

"Norimaci" एक गढ़ा हुआ शब्द है जो "Noriben" और "Macintosh" को मिलाकर बना है। इसका उच्चारण "Norimaki" है, और यह जापानी में "のり巻き" को दर्शाता है। अंग्रेजी में इसका अर्थ "sushi roll" है।

Noriben एक जापानी शैली का लंच बॉक्स है जिसमें न्यूनतम सामग्री होती है। नोरिमाकी की सामग्री नोरिबेन के समान होती है (समुद्री शैवाल, चावल, और आपकी पसंद की अन्य चीजें)।

इसलिए, मैंने इस उपकरण का नाम "Norimaci" रखने का फैसला किया।

आवश्यकता

• OS X 10.6 या उसके बाद का संस्करण (मैंने macOS 10.13 - 10.15 पर परीक्षण किया)
• VMware Fusion, Parallels, VirtualBox, आदि।
• Python 3.5 या उसके बाद का संस्करण

वैकल्पिक आवश्यकता

• Monitor.app

ध्यान दें कि Monitor.app केवल macOS 10.12 - 10.14 का समर्थन करता है। यदि आप macOS 10.15 या उसके बाद के संस्करण पर मैलवेयर निष्पादित करना चाहते हैं, तो आपको इसे स्थापित करने की आवश्यकता नहीं है। इसके बजाय आपको OpenBSM का उपयोग करना होगा।

यदि आप Monitor.app के साथ Norimaci का उपयोग करते हैं, तो आपको नीचे दिए गए पुस्तकालयों को उनके स्रोत भंडार या pip से स्थापित करना होगा।

• py-applescript
• PyObjC
• dnslib

तैयारी

मैलवेयर निष्पादित करने के लिए वर्चुअल मशीनें बनाएं

मैलवेयर नमूनों को निष्पादित करने के लिए आपको एक macOS VM बनाना होगा। इसके अलावा, नकली इंटरनेट कनेक्शन के लिए एक और VM बनाने की अत्यधिक अनुशंसा की जाती है। क्योंकि, कई मैलवेयर अपने सर्वर (जैसे C2 सर्वर) से कनेक्ट करने का प्रयास करते हैं।

PolarProxy और INetSim नकली HTTP/HTTPS और DNS सेवाएं प्रदान करने के लिए बहुत उपयोगी उपकरण हैं। कृपया नकली इंटरनेट बनाने के लिए NETRESEC ब्लॉग देखें।

/etc/security/audit_control को संपादित करें

यदि आप सिस्टम गतिविधियों की निगरानी के लिए OpenBSM का उपयोग करते हैं, तो आपको /etc/security/audit_control फ़ाइल को नीचे दिए अनुसार संशोधित करना होगा। क्योंकि, OpenBSM डिफ़ॉल्ट रूप से केवल लॉगिन और प्रमाणीकरण के बारे में ऑडिट लॉग रिकॉर्ड करता है। लेकिन, Norimaci को विभिन्न प्रकार के ऑडिट लॉग (फ़ाइल निर्माण, फ़ाइल विलोपन, प्रक्रिया निष्पादन, नेटवर्किंग, आदि) की आवश्यकता होती है।

सेटिंग लागू करने के लिए संशोधन के बाद कंप्यूटर को पुनः प्रारंभ करना होगा।

#
# $P4: //depot/projects/trustedbsd/openbsm/etc/audit_control#8 $
#
dir:/var/audit
flags:lo,aa,fc,fd,pc,nt,ex      <- edit here like this
minfree:5
naflags:lo,aa,fc,fd,pc,nt,ex    <- edit here like this
policy:cnt,argv
filesz:2M
expire-after:10M
superuser-set-sflags-mask:has_authenticated,has_console_access
superuser-clear-sflags-mask:has_authenticated,has_console_access
member-set-sflags-mask:
member-clear-sflags-mask:has_authenticated

उपयोग

OpenBSM के साथ मूल उपयोग (सबसे मानक उपयोग)

1. sudo के साथ norimaci.py चलाएँ।
2. मैलवेयर का एक नमूना चलाएँ (आप किसी भी प्रकार का मैलवेयर चला सकते हैं। उदाहरण के लिए, DMG, PKG, Mach-O बाइनरी, इत्यादि)।
3. थोड़ी देर प्रतीक्षा करें (जब तक, मैलवेयर अपने लक्ष्य तक नहीं पहुँच जाता)।
4. उस टर्मिनल में जहाँ Norimaci चल रहा है, उपयुक्त समय पर "Ctrl + C" दबाएँ।
5. 2 प्रकार की रिपोर्ट उत्पन्न होती हैं (Norimaci_dd_Mon_yy__hh_mm_ffffff.txt और Norimaci_dd_Mon_yy__hh_mm_ffffff_timeline.csv)।
6. अपने पसंदीदा उपकरणों (जैसे टेक्स्ट एडिटर, grep, less, आदि) से रिपोर्ट की पुष्टि करें।

$ sudo python3 ./norimaci.py -m openbsm -o ./out/
Password:

--===[ Norimaci v0.1.0
--===[ Minoru Kobayashi [@unkn0wnbit]
[*] Launching OpenBSM agent...
[*] When runtime is complete, press CTRL+C to stop logging.
^C
[*] Termination of OpenBSM agent commencing... please wait
[*] Converting OpenBSM data ...
[*] Loading converted macOS activity data ...
[*] Saving report to: /Users/macforensics/tools/norimaci/out/Norimaci_14_Jan_20__15_55_093219.txt
[*] Saving timeline to: /Users/macforensics/tools/norimaci/out/Norimaci_14_Jan_20__15_55_093219_timeline.csv

Monitor.app के साथ मूल उपयोग

नोट: Monitor.app macOS 10.15 पर नहीं चल सकता। लेकिन, यह macOS 10.14 या उससे पहले के संस्करणों पर ठीक काम करता है।

1. sudo के साथ norimaci.py चलाएँ।
2. Norimaci द्वारा Monitor.app लॉन्च करने के बाद एक पासवर्ड दर्ज करें (Monitor.app को अपना kext स्थापित करने के लिए पासवर्ड की आवश्यकता होती है)।
3. मैलवेयर का एक नमूना चलाएँ (आप किसी भी प्रकार का मैलवेयर चला सकते हैं। उदाहरण के लिए, DMG, PKG, Mach-O बाइनरी, इत्यादि)।
4. थोड़ी देर प्रतीक्षा करें (जब तक, मैलवेयर अपने लक्ष्य तक नहीं पहुँच जाता)।
5. उस टर्मिनल में जहाँ Norimaci चल रहा है, उपयुक्त समय पर "Ctrl + C" दबाएँ।
6. 2 प्रकार की रिपोर्ट उत्पन्न होती हैं (Norimaci_dd_Mon_yy__hh_mm_ffffff.txt और Norimaci_dd_Mon_yy__hh_mm_ffffff_timeline.csv)।
7. अपने पसंदीदा उपकरणों (जैसे टेक्स्ट एडिटर, grep, less, आदि) से रिपोर्ट की पुष्टि करें।

स्क्रिप्ट की सहायता

• norimaci.py

$ python3 ./norimaci.py -h

--===[ Norimaci v0.1.0
--===[ Minoru Kobayashi [@unkn0wnbit]
usage: norimaci.py [-h] [-m MONITOR] [-j JSON] [-bl OPENBSM_LOG] [-p PROCLIST]
                   [-ml MONITORAPP_LOG] [-o OUTPUT] [--force] [--debug]

Light weight sandbox which works with OpenBSM or Fireeye's Monitor.app

optional arguments:
  -h, --help            show this help message and exit
  -m MONITOR, --monitor MONITOR
                        Specify a program to monitor macOS activity. You can
                        choose 'openbsm' or 'monitorapp'.
  -j JSON, --json JSON  Path to a JSON file which is converted by
                        'openbsmconv.py' or 'monitorappconv.py'.
  -bl OPENBSM_LOG, --openbsm-log OPENBSM_LOG
                        Path to an OpenBSM log file.
  -p PROCLIST, --proclist PROCLIST
                        Path to a process list file to process OpenBSM log
                        file. A file which has ".proclist" extnsion would be
                        used, if this option is not specified.
  -ml MONITORAPP_LOG, --monitorapp-log MONITORAPP_LOG
                        Path to a Monitor.app data file.
  -o OUTPUT, --output OUTPUT
                        Path to an output directory.
  --force               Enable to overwrite output files.
  --debug               Enable debug mode.

• openbsmconv.py

$ python3 ./openbsmconv.py -h
usage: openbsmconv.py [-h] [-f FILE] [-p PROCLIST] [-o OUT] [-c] [-rp]
                      [--with-failure] [--with-failure-socket] [--force]
                      [--debug]

Converts OpenBSM log file to JSON format.