🦆 Malduck

Installazione ⚙️ | Documentazione 📚

---

Malduck è il tuo compagno paperotto nei viaggi di analisi malware. Si basa principalmente sul progetto Roach, che deriva molti concetti dalla libreria mlib creata da Maciej Kotowicz. Lo scopo del fork era di rendere Roach indipendente dal progetto Cuckoo Sandbox, ma continuando a supportare il suo formato interno procmem.

Malduck fornisce molti miglioramenti derivanti dal codebase di CERT.pl, rendendo gli script scritti per scopi di analisi malware molto più brevi e potenti.

Caratteristiche

• Crittografia (AES, Blowfish, Camellia, ChaCha20, Serpent e molti altri)
• Algoritmi di compressione (aPLib, gzip, LZNT1 (RtlDecompressBuffer))
• Oggetti modello di memoria (lavora su dump di memoria, PE/ELF, file raw e dump IDA usando lo stesso codice)
• Motore di estrazione (framework di estrazione modulare per l'estrazione di configurazioni da file/dump)
• Tipi interi fissi (come Uint64) e utilità bitwise
• Operazioni sulle stringhe (chunk, padding, packing/unpacking, ecc.)
• Algoritmi di hashing (CRC32, MD5, SHA1, SHA256)

Esempi di utilizzo

AES

from malduck import aes

key = b'A'*16
iv = b'B'*16
plaintext = b'data'*16
ciphertext = aes.cbc.encrypt(key, iv, plaintext)

Serpent

from malduck import serpent

key = b'a'*16
iv = b'b'*16
plaintext = b'data'*16
ciphertext = serpent.cbc.encrypt(key, plaintext, iv)

Decompressione APLib

from malduck import aplib

# Headerless compressed buffer
aplib(b'T\x00he quick\xecb\x0erown\xcef\xaex\x80jumps\xed\xe4veur`t?lazy\xead\xfeg\xc0\x00')

Tipi interi fissi

from malduck import DWORD

def sdbm_hash(name: bytes) -> int:
    hh = 0
    for c in name:
        # operations on the DWORD type produce a dword, so a result
        # is also a DWORD.
        hh = DWORD(c) + (hh << 6) + (hh << 16) - hh
    return int(hh)

Motore estrattore - esempio di modulo

from malduck import Extractor

class Citadel(Extractor):
    family = "citadel"
    yara_rules = ("citadel",)
    overrides = ("zeus",)

    @Extractor.string("briankerbs")
    def citadel_found(self, p, addr, match):
        log.info('[+] `Coded by Brian Krebs` str @ %X' % addr)
        return True

    @Extractor.string
    def cit_login(self, p, addr, match):
        log.info('[+] Found login_key xor @ %X' % addr)
        hit = p.uint32v(addr + 4)
        print(hex(hit))
        if p.is_addr(hit):
            return {'login_key': p.asciiz(hit)}

        hit = p.uint32v(addr + 5)
        print(hex(hit))
        if p.is_addr(hit):
            return {'login_key': p.asciiz(hit)}

Oggetti modello di memoria

from malduck import procmempe

with procmempe.from_file("notepad.exe", image=True) as p:
    resource_data = p.pe.resource("NPENCODINGDIALOG")

Come iniziare

Installalo eseguendo

pip install malduck

Maggiori informazioni sulla documentazione si trovano su readthedocs.