IRFuzz - Scanner semplice con regole Yara

IRFuzz è un semplice scanner con regole Yara per archivi di documenti o qualsiasi file.

Installazione

1. Prerequisiti

Linux o OS X

• Yara: usa semplicemente il codice sorgente dell'ultima release, compila e installalo (oppure installalo tramite pip install yara-python)
• Regole Yara - Puoi scaricare le regole Yara da qui o importare il tuo set di regole personalizzate.
• Dipendenze Python

Le dipendenze sono gestite con pipenv. Per iniziare, installa le dipendenze e attiva l'ambiente virtuale con i seguenti comandi:

$ pipenv install

$ pipenv shell

Esecuzione di IRFuzz - Watchd

Esecuzione di IRFuzz

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

Funzionalità supportate

• Scansiona nuovi file con inotify
• Polling se inotify non è supportato
• Estensioni personalizzate supportate
• La modalità di eliminazione cancella il file corrispondente
• Scansione ricorsiva delle directory
• Elenca le funzioni Yara corrispondenti con yarastrings e ctime
• Risultati CSV per Filebeat

Estensioni personalizzate

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

Avviso per regola Yara corrispondente

Genera un token da https://irfuzz.com/tokens

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

Configura gli avvisi dal sito web verso Telegram o la tua email.

Elimina file corrispondente

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

Polling (inotify non supportato)

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

Aggiunge l'opzione --poll per forzare l'uso del meccanismo di polling per rilevare modifiche nella directory dei dati. Il polling è più lento del meccanismo sottostante del sistema operativo per rilevare modifiche, ma è necessario con alcuni file system come i mount SMB.

Estensioni predefinite se non vengono menzionate estensioni.

Formati di file supportati da Microsoft Office Word

.doc .docm .docx .docx .dot .dotm .dotx .odt

Formati di file supportati da Microsoft Office Excel

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

Formati di file supportati da Microsoft Office PowerPoint

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

IRFuzz utilizza zipdump.py per l'analisi dei file zip.