cert-polska/kartonFramework distribuito per l'elaborazione di malware basato su Python, Redis e S3.
Framework distribuito per l'elaborazione di malware basato su Python, Redis e S3.
Karton è un framework robusto per la creazione di backend di analisi malware flessibili e leggeri. Può essere utilizzato per collegare i sistemi di analisi malware* in una pipeline robusta con pochissimo sforzo.
Ci occupiamo di automazione da molto tempo. Abbiamo a che fare con sempre più minacce e dobbiamo automatizzare tutto per stare al passo con gli incidenti. Per questo motivo, ci ritroviamo spesso con molti script tenuti insieme con nastro adesivo nastro isolante e WD-40. Questi script sono scritti dagli analisti nel momento del bisogno, fragili e brutti - ma funzionano, e producono informazioni che devono essere archiviate, ulteriormente elaborate, inviate ad altri sistemi o condivise con altre organizzazioni.
Avevamo bisogno di un modo per prendere i nostri script PoC e inserirli facilmente nella nostra pipeline di analisi. Volevamo anche monitorarne l'esecuzione, centralizzare il logging, migliorare la robustezza, ridurre l'inerzia nello sviluppo... Per questo esatto scopo, abbiamo creato Karton.
* sebbene Karton sia stato progettato pensando all'analisi malware, funziona egregiamente in ogni progetto orientato ai microservizi.
L'installazione è semplice come un singolo comando pip install:
pip3 install karton-core
Per configurare l'intero ambiente backend avrai anche bisogno di uno storage compatibile con S3 e Redis, consulta la documentazione per i dettagli.
Per utilizzare karton devi fornire una classe che erediti da Karton.
from karton.core import Karton, Task, Resource
class GenericUnpacker(Karton):
"""
Performs sample unpacking
"""
identity = "karton.generic-unpacker"
filters = [
{
"type": "sample",
"kind": "runnable",
"platform": "win32"
}
]
def process(self, task: Task) -> None:
# Get sample object
packed_sample = task.get_resource("sample")
# Log with self.log
self.log.info(f"Hi {packed_sample.name}, let me analyze you!")
...
# Send our results for further processing or reporting
task = Task(
{
"type": "sample",
"kind": "raw"
},
payload={
"parent": packed_sample,
"sample": Resource(filename, unpacked)
},
)
self.send_task(task)
if __name__ == "__main__":
GenericUnpacker.main()
Questo pacchetto fornisce anche un'utilità da riga di comando chiamata "karton". Puoi usarla per semplici attività di gestione (ma non è progettata come uno strumento di gestione completo).
$ karton configure # create a new configuration file
$ karton list -s # list current binds
karton name version karton
------------------------------------------------------------------------
karton.yaramatcher 1.2.0 5.3.0
karton.autoit-ripper 1.2.1 5.3.3
karton.mwdb-reporter 1.3.0 5.3.2
$ karton logs # start streaming all system logs
$ karton delete karton.something # remove unused bind (will be GCed by system during the next operation)
Alcuni sistemi Karton sono universali e utili a tutti. Abbiamo deciso di condividerli con la comunità.
Questo repository. Contiene il servizio karton.system - il servizio principale, responsabile dell'inoltro dei task all'interno del sistema. Contiene anche il modulo karton.core, che viene utilizzato come libreria da altri sistemi.
Una piccola dashboard Flask per la gestione e il monitoraggio di task e code.
Il "router". Riconosce campioni/file e produce vari tipi di task a seconda del formato del file. Grazie a questo, altri sistemi possono ascoltare solo task con un formato specifico (ad esempio, solo archivi zip).
Estrattore generico di archivi. Gli archivi caricati nel sistema verranno estratti e ogni file verrà elaborato individualmente.
Estrattore di malware. Utilizza regole Yara e moduli Python per estrarre la configurazione statica da campioni e analisi di malware. È una canna da pesca, non un pesce - non condividiamo i moduli stessi. Ma è facile scrivere i tuoi!
Una parte molto importante della pipeline. Il reporter invia tutti i file, i tag, i commenti e altre informazioni prodotte durante l'analisi a MWDB. Se non usi ancora MWDB o preferisci altri backend, è facile scrivere il tuo reporter.
Esegue automaticamente le regole Yara su tutti i file nella pipeline e tagga i campioni in modo appropriato. Regole non incluse ;).
Sistema Karton che decodifica file codificati con metodi comuni, come hex, base64, ecc. (Non crederesti a quanto sia comune).
Un piccolo wrapper attorno a AutoIt-Ripper che estrae script e risorse AutoIt incorporati da eseguibili AutoIt compilati.
Sistema automatizzato di analisi malware black-box con motore DRAKVUF sotto il cofano, che non richiede un agente sul sistema operativo guest.
Ecco come questi sistemi possono essere utilizzati per formare una pipeline di analisi malware di base:
Un servizio modulare del framework Karton che estrae packer comuni come UPX e altri utilizzando il framework Qiling.
Un'utilità modulare ricca di funzionalità per l'estrazione della configurazione di malware per MalDuck
Classificatore Detect-It-Easy per il framework Karton
Modulo unpacker RetDec per il framework Karton
Piattaforma di similarità malware con modularità in mente.
Una pipeline scalabile per l'analisi delle vulnerabilità dei driver Windows.
