munin

 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

वायरसटोटल और अन्य सेवाओं के लिए ऑनलाइन हैश जाँचकर्ता
फ्लोरियन रोथ

मुनिन क्या है?

मुनिन एक ऑनलाइन हैश जाँचकर्ता उपयोगिता है जो विभिन्न ऑनलाइन स्रोतों से मूल्यवान जानकारी प्राप्त करता है

मुनिन का वर्तमान संस्करण निम्नलिखित सेवाओं से पूछताछ करता है:

• Virustotal
• HybridAnalysis
• Any.Run
• URLhaus
• MISP
• CAPE
• Malshare
• Valhalla
• Hashlookup

स्क्रीनशॉट

डिफ़ॉल्ट मोड - फ़ाइल से हैश पढ़ें

उपयोग

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Online Hash Checker

optional arguments:
  -h, --help            show this help message and exit
  -f path               File to process (hash line by line OR csv with hash
                        in each line - auto-detects position and comment)
  --vh search-string    Query Valhalla for hashes by keyword, tags, YARA
                        rule name, Mitre ATT&CK software (e.g. S0154),
                        technique (e.g. T1023) or threat group (e.g. G0049)
  --vhrule search-string
                        Query Valhalla for hashes via rules by keyword,
                        tags, YARA rule name, Mitre ATT&CK software (e.g.
                        S0154), technique (e.g. T1023) or threat group
                        (e.g. G0049)
  -o output             Output file for results (CSV)
  --vtwaitquota         Do not continue if VT quota is exceeded but wait
                        for the next day
  --vtminav min-matches
                        Minimum number of AV matches to query hash info
                        from VT"
  --limit hash-limit    Exit after handling this much new hashes in batch
                        mode (cache ignored).
  --vhmaxage days       Maximum age of sample on Valhalla to process
  -c cache-db           Name of the cache database file (default: vt-hash-
                        db.json)
  -i ini-file           Name of the ini file that holds the API keys
  -s sample-folder      Folder with samples to process
  --comment             Posts a comment for the analysed hash which
                        contains the comment from the log line
  -p vt-comment-prefix  Virustotal comment prefix
  --download            Enables Sample Download from Hybrid Analysis.
                        SHA256 of sample needed.
  -d download_path      Output Path for Sample Download from Hybrid
                        Analysis. Folder must exist
  --nocache             Do not use cache database file
  --nocsv               Do not write a CSV with the results
  --verifycert          Verify SSL/TLS certificates
  --sort                Sort the input lines
  --web                 Run Munin as web service
  -w port               Web service port
  --cli                 Run Munin in command line interface mode
  --rescan              Trigger a rescan of each analyzed file
  --debug               Debug output

सुविधाएँ

• API (JSON प्रतिक्रिया) के माध्यम से Virustotal से और permalink (HTML पार्सिंग) के माध्यम से अन्य जानकारी प्राप्त करता है
• प्लेटफार्मों की एक सूची से अतिरिक्त जानकारी प्राप्त करता है
• एक इतिहास (कैश) रखता है ताकि सेवाओं से केवल एक बार पूछताछ की जाए जब हैश पाठ फ़ाइल में कई बार प्रकट हो सकता है
• कैश की गई वस्तुएँ JSON में संग्रहीत की जाती हैं
• निष्कर्षों के साथ CSV फ़ाइल बनाता है आसान पोस्ट-प्रोसेसिंग और रिपोर्टिंग के लिए
• यदि उपलब्ध हो तो पिछले CSV में परिणाम जोड़ता है

प्रदर्शित

• हैश और टिप्पणी (टिप्पणी पंक्ति का शेष भाग है जिसमें से हैश निकाला गया है)
• उपयोगकर्ता द्वारा परिभाषित सूची के आधार पर AV विक्रेता मिलान
• वास्तविक उपयोग में फ़ाइल नाम
• PE जानकारी जैसे विवरण, मूल फ़ाइल नाम और कॉपीराइट कथन
• हस्ताक्षरित पोर्टेबल निष्पादन योग्य का हस्ताक्षरकर्ता
• Virustotal अनुपात के आधार पर परिणाम
• पहली और अंतिम प्रस्तुति
• कुछ संकेतकों के लिए टैग: हानिरहित, हस्ताक्षरित, समाप्त, रद्द, MSSoftware

अतिरिक्त जाँच

• नमूना अपलोड के लिए Malshare.com से पूछताछ करता है
• रिपोर्ट के लिए Hybrid-Analysis.com से पूछताछ करता है
• उपलब्ध घटनाओं के लिए एकाधिक MISP इंस्टेंस से पूछताछ करता है
• रिपोर्ट के लिए Any.run सैंडबॉक्स से पूछताछ करता है
• रिपोर्ट के लिए CAPE सैंडबॉक्स से पूछताछ करता है
• रिपोर्ट के लिए URLhaus से पूछताछ करता है
• उपलब्ध नमूनों के लिए Malshare से पूछताछ करता है
• YARA नियम मिलान के लिए Valhalla से पूछताछ करता है
• वर्तमान बैच में Imphash डुप्लिकेट > आपको आयात तालिका हैश में ओवरलैप देखने की अनुमति देता है
• PE हस्ताक्षर डुप्लिकेट जाँच

संचालन मोड

1. डिफ़ॉल्ट - हैश वाली इनपुट फ़ाइल (-f) या नमूना निर्देशिका (-s) प्रदान करके
2. क्वेरी - Valhalla से कीवर्ड, टैग, ATT&CK तकनीक (जैसे T1023), ATT&CK खतरा समूह (जैसे G0049) या नियम नाम द्वारा हैश खोजने के लिए (-q)
3. कमांड लाइन इंटरफ़ेस - --cli पैरामीटर का उपयोग करके
4. वेब सेवा मोड - --web पैरामीटर का उपयोग करके

आरंभ करना

1. रिपॉजिटरी डाउनलोड/क्लोन करें
2. आवश्यक पैकेज स्थापित करें: pip3 install -r requirements.txt (macOS पर --user जोड़ें)
3. अपनी कस्टम ini फ़ाइल में विभिन्न सेवाओं के लिए API कुंजियाँ सेट करें cp munin.ini my.ini (सहायता के लिए अनुभाग API कुंजियाँ प्राप्त करें देखें)
4. पहले रन के लिए डेमो फ़ाइल का उपयोग करें: python munin.py -i my.ini -f munin-demo.txt

आवश्यकताएँ

• Python 3.7 और उच्चतर
• इंटरनेट कनेक्शन (प्रॉक्सी समर्थन; SSL/TLS इंटरसेप्शन एक समस्या हो सकती है)

विशिष्ट कमांड लाइन

Virustotal Retrohunt परिणाम को संसाधित करें और जाँच करने से पहले पंक्तियों को क्रमबद्ध करें ताकि मिलान किए गए हस्ताक्षर ब्लॉक में जाँचे जा सकें

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

नमूनों वाली निर्देशिका को संसाधित करें और उनके हैश ऑनलाइन जाँचें

python3 munin.py -i my.ini -s ~/malware/case34

कमांड लाइन इंटरफ़ेस मोड का उपयोग करें (v0.14 में नया)

python3 munin.py -i my.ini

API कुंजियाँ प्राप्त करें

Virustotal

1. यहाँ खाता बनाएँ https://www.virustotal.com/#/join-us
2. अपनी सार्वजनिक API कुंजी के लिए प्रोफ़ाइल > मेरी API कुंजी जाँचें

MalShare

यहाँ पंजीकरण करें https://malshare.com/register.php

Malware Bazaar

यहाँ पंजीकरण करें https://bazaar.abuse.ch/। आप अपनी API कुंजी अपने खाता अवलोकन में पा सकते हैं।

Hybrid Analysis

1. यहाँ खाता बनाएँ https://www.hybrid-analysis.com/signup
2. लॉगिन के बाद, प्रोफ़ाइल > API कुंजी जाँचें

MISP