cybercentrecanada/cartPython implementation of the CaRT library for (un)inerting files.
Il formato di file CaRT viene utilizzato per archiviare/trasferire malware e i relativi metadati. Neutralizza il malware rendendolo non eseguibile e lo cifra in modo che i software antivirus non possano segnalare il file CaRT come malware.
Ora che STIX v2 utilizza JSON come codifica, puoi raggruppare direttamente il tuo report STIX nel formato CaRT.
Quando CaRT codifica i file, aggiunge i metadati dal file *.cartmeta con lo stesso prefisso del tuo file.
Pertanto, se salvi il tuo report STIX in un file .cartmeta, il file CaRT risultante conterrà
l'intero report STIX al suo interno.
Esempio:
$ ls
file.exe - File I want to encode
file.exe.cartmeta - Stix report of file.exe
$ cart file.exe
$ ls
file.exe - File I want to encode
file.exe.cartmeta - Stix report of file.exe
file.exe.cart - CaRT file containing both the file.exe and its STIX report
CaRT ha un'intestazione obbligatoria che si presenta così
4s h Q 16s Q
CART<VERSION><RESERVED><ARC4KEY><OPT_HEADER_LEN>
Dove VERSION è 1 e RESERVED è 0. Nella maggior parte dei casi, la chiave RC4 utilizzata per decifrare il file è memorizzata nell'intestazione obbligatoria ed è sempre la stessa (le prime 8 cifre di pi greco due volte). Tuttavia, CaRT offre la possibilità di sostituire la chiave, che in tal caso memorizza byte nulli nell'intestazione obbligatoria. A quel punto dovrai conoscere la chiave per eseguire l'unCaRT del file...
L'intestazione facoltativa di CaRT è un blob RC4 di OPT_HEADER_LEN byte di un'intestazione serializzata in JSON
RC4(<JSON_SERIALIZED_OPTIONAL_HEADER>)
Il blocco dati di CaRT è un blocco zlib seguito da un blocco RC4
RC4(ZLIB(block encoded stream))
Come l'intestazione facoltativa, il piè di pagina facoltativo di CaRT è un blob RC4 di OPT_FOOTER_LEN byte di un piè di pagina serializzato in JSON
RC4(<JSON_SERIALIZED_OPTIONAL_FOOTER>)
CaRT termina il file con un piè di pagina obbligatorio che consente al formato di leggere il piè di pagina e restituire gli hash senza leggere l'intero file
4s QQ Q
TRAC<RESERVED><OPT_FOOTER_LEN>
Installando il pacchetto pip, si ha accesso alla libreria CaRT e anche all'interfaccia a riga di comando di CaRT.
L'interfaccia a riga di comando di CaRT ha la seguente priorità per le sue opzioni:
~/.cart/cart.cfgQueste sono le opzioni disponibili nell'interfaccia a riga di comando di CaRT:
usage: cart [options] file1 file2 ... fileN
The CaRT file format is used to store/transfer malware and its associated metadata.
It neuters the malware so it cannot be executed and encrypts it so anti-virus software
cannot flag the CaRT file as malware.
positional arguments:
file
options:
-h, --help show this help message and exit
-v, --version show program's version number and exit
-d, --delete Delete original after operation succeeded
-f, --force Replace output file if it already exists
-i, --ignore Ignore RC4 key from conf file
-j JSONMETA, --jsonmeta JSONMETA
Provide header metadata as JSON blob
-k KEY, --key KEY Use private RC4 key (base64 encoded). Same key must be provided to unCaRT.
-m, --meta Keep metadata around when extracting CaRTs
-n FILENAME, --name FILENAME
Use this value as metadata filename
-o OUTFILE, --outfile OUTFILE
Set output file
-s, --showmeta Only show the file metadata
CaRT is smart enough to determine if a file needs to be CaRTed or unCaRTed.
To CaRT an unCaRTed file: cart file1
To unCaRT a CaRTed file: cart file1
It is the same command!
Il file di configurazione di CaRT si presenta così:
[global]
# rc4_key is a base64 representation of your key
rc4_key: AvUzYXNkZg==
# keep_meta is an equivalent to -m in the CLI
keep_meta: True
# force is an equivalent to -f in the CLI
force: True
# default_header is a key/value pair of data to be added to the CaRT in the optional header
[default_header]
poc: Your Name
poc_email: [email protected]
Esistono anche implementazioni di CaRT in Rust e Java. Dai un'occhiata qui sotto:
Il formato di file CaRT consente di archiviare e trasferire i malware e i metadati associati. Neutralizza i malware in modo che non possano essere eseguiti e li cifra così che il software antivirus non segnali il file CaRT come malware.
Ora che STIX v2 utilizza JSON per la codifica, puoi includere i tuoi report STIX direttamente nel formato CaRT.
Quando CaRT codifica i file, aggiunge i metadati dal file *.cartmeta con lo stesso prefisso utilizzato dal tuo file.
Di conseguenza, se salvi il tuo report STIX in un file .cartmeta, il report completo verrà integrato nel file CaRT risultante.
Per esempio:
$ ls
file.exe - Fichier à coder
file.exe.cartmeta - Rapport STIX du fichier file.exe
$ cart file.exe
$ ls
file.exe - Fichier à coder
file.exe.cartmeta - Rapport STIX du fichier file.exe
file.exe.cart - Fichier CaRT contenant à la fois le fichier file.exe et son rapport STIX
CaRT ha un'intestazione obbligatoria che assomiglia a quanto segue:
4s h Q 16s Q
CART<VERSION><RESERVED><ARC4KEY><OPT_HEADER_LEN>
In questa intestazione, VERSION è 1 e RESERVED è 0. Nella maggior parte dei casi, la chiave RC4 utilizzata per decifrare il file è memorizzata al suo interno ed è sempre la stessa (le prime 8 cifre di pi greco due volte). CaRT offre tuttavia un modo per sostituire la chiave, che consiste nel memorizzare byte nulli nell'intestazione obbligatoria. A quel punto dovrai conoscere la chiave per decodificare il file CaRT.
L'intestazione facoltativa di CaRT è un blob RC4 di OPT_HEADER_LEN byte di un'intestazione serializzata in JSON
RC4(<JSON_SERIALIZED_OPTIONAL_HEADER>)
Il blocco dati di CaRT è una libreria software di compressione dati (zlib) seguita da un blocco RC4
RC4(ZLIB(block encoded stream))
Come l'intestazione facoltativa, il piè di pagina facoltativo di CaRT è un blob RC4 di OPT_FOOTER_LEN byte di un piè di pagina serializzato in JSON
RC4(<JSON_SERIALIZED_OPTIONAL_FOOTER>)
CaRT termina il file con un piè di pagina obbligatorio che consente al formato di leggere il piè di pagina e restituire gli hash senza dover leggere l'intero file
4s QQ Q
TRAC<RESERVED><OPT_FOOTER_LEN>
Installando il pacchetto pip, puoi accedere alla libreria CaRT e anche all'interfaccia a riga di comando di CaRT.
L'interfaccia a riga di comando di CaRT ha la seguente priorità per le sue opzioni:
~/.cart/cart.cfgQueste sono le opzioni disponibili nell'interfaccia a riga di comando di CaRT:
utilisation: cart [options] fichier1 fichier2 ... fichierN
Le format de fichier CaRT est utilisé pour enregistrer et transferer des fichiers malicieux et les métadonnées associées.
Il permet de neutraliser le fichier malicieux afin qu'il ne puisse être exécuté et l'encrypte afin d'éviter la detection et l'effacement par les anti-virus.
arguments positionels:
fichier
options:
-h, --help afficher ce message d’aide et quitter
-v, --version afficher le numéro de version du programme et quitter
-d, --delete supprime le fichier original après une exécution réussie
-f, --force remplacer le fichier de sortie s’il existe déjà
-i, --ignore Ignorer la clé RC4 dans le fichier conf
-j JSONMETA, --jsonmeta JSONMETA
Fournir les métadonnées de l’en-tête sous forme d’objet blob json
-k KEY, --key KEY Utiliser la clé RC4 privée (codé en Base64). La même clé doit être saisie pour décompresser le fichier CaRT.
-m, --meta Conserver les métadonnées lors de l’extraction des fichiers CaRT
-n FILENAME, --name FILENAME
Utiliser cette valeur comme nom de fichier des métadonnées
-o OUTFILE, --outfile OUTFILE
Définir le fichier de sortie
-s, --showmeta Afficher uniquement les métadonnées du fichier
CaRT est capable de déterminer si un fichier a besoin d'être CaRTé ou déCaRTé.
Pour CaRTer un fichier déCaRTé: cart file1
Pour déCaRTer un fichier CaRTé: cart file1
C'est la même commande!
Il file di configurazione di CaRT si presenta così:
[global]
# rc4_key est une représentation en Base64 de votre clé
rc4_key: AvUzYXNkZg==
# keep_meta est un équivalent de -m dans le CLI
keep_meta: True
# force est un équivalent de -f dans le CLI
force: True
# default_header est une paire de données clé/valeur à ajouter à l’en-tête facultatif du fichier CaRT
[default_header]
poc: Votre nom
poc_email: [email protected]
Esistono implementazioni in Rust e in Java. Puoi accedervi ai seguenti indirizzi: