Rip Raw

Rip Raw è un piccolo strumento per analizzare la memoria di sistemi Linux compromessi. È simile nello scopo a Bulk Extractor, ma particolarmente focalizzato sull'estrazione dei log di sistema da dump di memoria di sistemi Linux. Questo permette di analizzare i sistemi senza dover generare un profilo.

Questo non sostituisce strumenti come Rekall e Volatility che utilizzano un profilo per eseguire un'analisi più strutturata della memoria.

Rip Raw funziona prendendo un Binario Crudo come un Dump di Memoria e estrae file e log utilizzando:

• Confini testo/binario
• Intestazioni di file e magic number
• Voci di log

Poi li inserisce in un file zip per un'elaborazione secondaria da parte di altri strumenti come Cado Response o un SIEM come Splunk (esempi sotto).

Esempio

Ad esempio, dopo aver catturato la memoria di un sistema Amazon EKS (Elastic Kubernetes Service) compromesso con un worm di crypto-mining, lo abbiamo elaborato con rip_raw:

python3 rip_raw.py -f eks-node-ncat-capture.mem

E poi il grande archivio zip di log che Rip Raw produce può essere visualizzato in uno strumento come Cado Response (sotto). Sono stati estratti circa 36500 eventi di log da questa immagine di memoria, insieme a una serie di binari come immagini ed eseguibili.

Oppure Splunk:

Per saperne di più

• Terremo un webinar su Cloud Incident Response e Ransomware martedì 1 febbraio @ https://www.brighttalk.com/webcast/19071/527346

• Forniamo un esempio di Rip Raw per l'analisi di un sistema Amazon Kubernetes compromesso in un talk @ https://offers.cadosecurity.com/cloud-and-kubernetes-memory-forensics

• Puoi scaricare una copia PDF del nostro playbook su come rispondere a sistemi Kubernetes compromessi come Amazon EKS @ https://offers.cadosecurity.com/the-ultimate-guide-to-docker-and-kubernetes-incident-response