gimphash

gimphash एक प्रस्तावित विधि है जो Go बाइनरीज़ के लिए imphash के समतुल्य की गणना करती है। इसका अर्थ है Go-import-hash।

Golang बाइनरीज़ में उनकी निर्भरताएँ एक्ज़ीक्यूटेबल के हिस्से के रूप में शामिल होती हैं। इन निर्भरताओं में मानक लाइब्रेरी पैकेज और तृतीय-पक्ष निर्भरताएँ दोनों शामिल हैं, और इनका उपयोग, क्लासिकल imphash के अनुरूप, किसी Golang प्रोजेक्ट की पहचान करने के लिए किया जा सकता है।

प्रत्येक Golang बाइनरी का हिस्सा pclntab का उपयोग करके निर्भरताओं को सूचीबद्ध किया जा सकता है (Mandiant द्वारा लिखित यह ब्लॉग पोस्ट भी देखें)। pclntab में रिवर्स इंजीनियरिंग के लिए कई दिलचस्प तत्व होते हैं; gimphash के लिए हम उसमें मौजूद फ़ंक्शन नामों का उपयोग करेंगे।

गणना

1. किसी Golang बाइनरी के भीतर pclntab का पता लगाएँ
2. pclntab के भीतर functab का उपयोग करके golang फ़ंक्शनों की गणना करें और उनके नामों पर पुनरावृति करें:
   1. go. या type. से शुरू होने वाले फ़ंक्शन नामों को अनदेखा करें (कंपाइल आर्टिफ़ैक्ट, रनटाइम आंतरिक)
   2. यदि किसी फ़ंक्शन नाम में vendor/ शामिल है, तो उस सबस्ट्रिंग और उससे पहले की सभी चीज़ों को हटा दें (उदा. vendor/golang.org/x/text को golang.org/x/text में बदलें)
   3. internal/ वाले फ़ंक्शन नामों को अनदेखा करें
   4. निम्नलिखित मानक लाइब्रेरी पैकेजों में से किसी से शुरू होने वाले फ़ंक्शन नामों को अनदेखा करें:
      • runtime
      • sync
      • syscall
      • type
      • time
      • unicode
      • reflect
      • strconv
   5. उन फ़ंक्शन नामों को अनदेखा करें जो सार्वजनिक नहीं हैं या जिनके रिसीवर सार्वजनिक नहीं हैं। ऐसा करने के लिए:
      1. फ़ंक्शन नाम में अंतिम / खोजें। यदि कोई / नहीं मिलता है, तो इसके बजाय आरंभ का उपयोग करें। उस स्थिति से शुरू करके, अगला . खोजें।
      2. उस . के बाद की सभी चीज़ों को मूल फ़ंक्शन नाम के रूप में निकालें। यदि कोई . नहीं मिला, तो पिछले चरण में गणना किए गए / इंडेक्स के बाद की सभी चीज़ों का उपयोग करें।
      3. यदि मूल फ़ंक्शन नाम में पहला अल्फ़ान्यूमेरिक वर्ण लोअर केस है, तो फ़ंक्शन को अनदेखा करें।
      4. यदि मूल फ़ंक्शन नाम के भीतर एक और . मौजूद है, तो फ़ंक्शन को अनदेखा करें यदि उस . के बाद पहला अल्फ़ान्यूमेरिक वर्ण लोअर केस है।
   6. परिणामी नाम को, यदि अब तक अनदेखा नहीं किया गया है, एक क्रमबद्ध सूची में संग्रहीत करें
3. संयोजित नामों (बिना किसी विभाजक के) पर SHA-256 हैश की गणना करें

प्रूफ ऑफ कॉन्सेप्ट कार्यान्वयन

इस रिपॉज़िटरी में निम्नलिखित भाषाओं में प्रूफ ऑफ कॉन्सेप्ट कोड शामिल है:

• C
• Go

रिलीज़ अनुभाग में Windows और Linux के लिए प्रीबिल्ट बाइनरीज़ शामिल हैं।

उपयोग उदाहरण

एकल फ़ाइल पर Gimphash कैलकुलेटर चलाएँ

./c_gimphash_linux /mnt/malware-repo/Godoh/godoh-windows64.exe
8200e76e42c4e9cf2bb308d76c017cbdcde5cbbf95e99e02b14d05e7b21505f3 /mnt/mal/Godoh/godoh-windows64.exe

मैलवेयर रिपॉज़िटरी पर Gimphash कैलकुलेटर चलाएँ

find /mnt/malware-repo/ -type f -exec ./go_gimphash_linux {} \; 2>/dev/null
...

क्लस्टरिंग उदाहरण