neo23x0/lokiIOC और YARA-आधारित स्कैनर जो फ़ाइल नाम regex, YARA सिग्नेचर, हैश मैचिंग और एंडपॉइंट पर C2 बैक-कनेक्ट जाँच के माध्यम से संक्रमण के संकेतकों का पता लगाने के लिए है।
मैंने एक नया ओपन सोर्स YARA स्कैनर लिखा है जिसे LOKI RS (Rust) कहा जाता है। LOKI (Python) अब आधिकारिक रूप से अप्रचलित (deprecated) हो गया है।
यह परियोजना अब निष्क्रिय रखरखाव मोड में है। इसका मतलब है कि जब मैं बग फिक्स और सीधी समस्याओं के लिए पुल रिक्वेस्ट मर्ज करता हूँ, तो वर्तमान में मेरे पास नई सुविधाएँ जोड़ने या मौजूदा सुविधाओं का विस्तार करने का समय नहीं है। वर्षों से, मेरा ध्यान एक अधिक उन्नत स्कैनर, THOR, विकसित करने पर रहा है, जो इस परियोजना पर कई सुधार प्रदान करता है। एक मुफ्त संस्करण, THOR Lite, उपलब्ध है; यह तेज़, अधिक स्थिर, और हमारे CI वातावरणों में कठोरता से परीक्षण किया गया है—बस एक बेहतर समाधान। आप ओपन-सोर्स, मुफ्त और वाणिज्यिक स्कैनर की तुलना यहाँ पा सकते हैं।
मैंने LOKI का एक Rust-आधारित संस्करण भी शुरू किया है जिसे LOKI 2 कहा जाता है। हालाँकि, मुझे यकीन नहीं है कि यह वर्तमान LOKI रिलीज़ के साथ फीचर समानता (feature parity) तक कब पहुँचेगा। इसके अलावा, मैंने एक फ्लो चार्ट बनाया है ताकि आप यह तय कर सकें कि कौन सा स्कैनर आपकी आवश्यकताओं को सबसे अच्छी तरह पूरा करता है।
सरल समझौता संकेतकों (Indicators of Compromise) के लिए स्कैनर
पता लगाना चार विधियों पर आधारित है:
1. फ़ाइल नाम IOC
पूर्ण फ़ाइल पथ/नाम पर Regex मिलान
2. Yara नियम जाँच
फ़ाइल डेटा और प्रक्रिया मेमोरी पर Yara सिग्नेचर मिलान
3. हैश जाँच
ज्ञात दुर्भावनापूर्ण हैश (MD5, SHA1, SHA256) की स्कैन की गई फ़ाइलों से तुलना करता है
4. C2 बैक कनेक्ट जाँच
प्रक्रिया कनेक्शन एंडपॉइंट्स की C2 IOC से तुलना करता है (संस्करण v.10 से नया)
अतिरिक्त जाँच:
1. Regin फाइलसिस्टम जाँच (--reginfs के माध्यम से)
2. प्रक्रिया विसंगति जाँच ([Sysforensics](http://goo.gl/P99QZQ) पर आधारित)
3. SWF डीकंप्रेस्ड स्कैन (संस्करण v0.8 से नया)
4. SAM डंप जाँच
Windows बाइनरी PyInstaller के साथ संकलित की गई है और इसे x86 और x64 दोनों प्रणालियों पर x86 एप्लिकेशन के रूप में चलना चाहिए।
यदि आप संकलित EXE का उपयोग करते हैं तो कोई आवश्यकता नहीं है।
यदि आप इसे स्वयं बनाना चाहते हैं:
usage: loki.py [-h] [-p path] [-s kilobyte] [-l log-file] [-r remote-loghost]
[-t remote-syslog-port] [-a alert-level] [-w warning-level]
[-n notice-level] [--allhds] [--alldrives] [--printall]
[--allreasons] [--noprocscan] [--nofilescan] [--vulnchecks]
[--nolevcheck] [--scriptanalysis] [--rootkit] [--noindicator]
[--dontwait] [--intense] [--csv] [--onlyrelevant] [--nolog]
[--update] [--debug] [--maxworkingset MAXWORKINGSET]
[--syslogtcp] [--logfolder log-folder] [--nopesieve]
[--pesieveshellc] [--nolisten]
[--excludeprocess EXCLUDEPROCESS] [--force]
Loki - Simple IOC Scanner
optional arguments:
-h, --help show this help message and exit
-p path Path to scan
-s kilobyte Maximum file size to check in KB (default 5000 KB)
-l log-file Log file
-r remote-loghost Remote syslog system
-t remote-syslog-port
Remote syslog port
-a alert-level Alert score
-w warning-level Warning score
-n notice-level Notice score
--allhds Scan all local hard drives (Windows only)
--alldrives Scan all drives (including network drives and
removable media)
--printall Print all files that are scanned
--allreasons Print all reasons that caused the score
--noprocscan Skip the process scan
--nofilescan Skip the file scan
--vulnchecks Run the vulnerability checks
--nolevcheck Skip the Levenshtein distance check
--scriptanalysis Statistical analysis for scripts to detect obfuscated
code (beta)
--rootkit Skip the rootkit check
--noindicator Do not show a progress indicator
--dontwait Do not wait on exit
--intense Intense scan mode (also scan unknown file types and
all extensions)
--csv Write CSV log format to STDOUT (machine processing)
--onlyrelevant Only print warnings or alerts
--nolog Don't write a local log file
--update Update the signatures from the "signature-base" sub
repository
--debug Debug output
--maxworkingset MAXWORKINGSET
Maximum working set size of processes to scan (in MB,
default 100 MB)
--syslogtcp Use TCP instead of UDP for syslog logging
--logfolder log-folder
Folder to use for logging when log file is not
specified
--nopesieve Do not perform pe-sieve scans
--pesieveshellc Perform pe-sieve shellcode scan
--nolisten Dot not show listening connections
--excludeprocess EXCLUDEPROCESS
Specify an executable name to exclude from scans, can
be used multiple times
--force Force the scan on a certain folder (even if excluded
with hard exclude in LOKI's code
संस्करण 0.15 से Yara सिग्नेचर उप-रिपॉजिटरी signature-base में रहते हैं। LOKI को ZIP फ़ाइल के रूप में डाउनलोड करने पर आपको उप-रिपॉजिटरी नहीं मिलेगी। जब आप रिपॉजिटरी को क्लोन करेंगे तो यह शामिल होगा।