statiStrings

      _        _   _ ____  _        _
  ___| |_ __ _| |_(_) ___|| |_ _ __(_)_ __   __ _ ___
 / __| __/ _` | __| \___ \| __| '__| | '_ \ / _` / __|
 \__ \ || (_| | |_| |___) | |_| |  | | | | | (_| \__ \
 |___/\__\__,_|\__|_|____/ \__|_|  |_|_| |_|\__, |___/
 		       			    |___/
 YARA Rule Strings Statistics Calculator
 Shelly Raban (Sh3llyR), February 2021, Version 0.1

Informazioni sul progetto

statiStrings è un calcolatore di statistiche di stringhe per regole YARA.

L'obiettivo è aiutare la ricerca di malware:

• Trovare stringhe comuni e uniche all'interno di campioni di malware
• Trovare stringhe comuni all'interno di file puliti
• Risparmiare tempo trovando automaticamente le caratteristiche comuni dei campioni di malware

Questo strumento aiuta a scrivere regole YARA migliori e più precise per il rilevamento e la caccia di malware, basate su database personalizzati di file malevoli e puliti.

Per una data regola YARA e una directory di file, questo strumento restituisce la prevalenza di ciascuna stringa della regola nei file corrispondenti della directory.

Costruito con

• Python

Per iniziare

Per usare questo strumento, devi avere Python installato.

Installazione

Installa yara-python

pip install yara

Clona il repository

git clone https://github.com/Sh3llyR/statiStrings.git

Utilizzo

 usage: statiStrings.py [-h] [-y YARA_RULE] [-d TEST_DIR] [-t OUTPUT_TYPE]

 YARA Rule Strings Statistics Generator and Malware Research Helper

 optional arguments:
   -h, --help      show this help message and exit
   -y YARA_RULE    Path to the YARA Rule
   -d TEST_DIR     Path to the Directory of Files to be Scanned
   -t OUTPUT_TYPE  Output Type: s (sum - number of files in which each string
 				  from the YARA rule ocuured) / p (percentage - percent of
 				  files in which each string from the YARA rule ocuured).
 				  Default is s

Esempio di utilizzo

Ricerca di stringhe comuni in script batch malevoli: Per prima cosa, ho scritto una regola YARA con molti comandi che sono stati trovati in script malevoli. La condizione era "any of them" - molto generica. Poi, ho eseguito questo strumento con la regola che ho scritto su una directory di script malevoli (mostrata nell'esempio seguente). Infine, l'ho eseguito su una directory con script puliti. Dopo aver esaminato i risultati di entrambi gli script puliti e malevoli, sono stato in grado di:

1. Raggruppare le stringhe della regola YARA in sospette ($s_...), ad esempio tskill, e rumorose ($n_...), ad esempio echo.
2. Creare una condizione per la mia regola che catturi i campioni malevoli ma non quelli puliti, minimizzando i falsi positivi.

• python statiStrings.py -y .\batch_commands.yar -d .\batch_samples -t s
• Risultati:
  root@kitploit:~

  {'$s_ren': 1, '$n_set': 8, '$s_mem': 1, '$s_reg_add': 8, '$s_taskkill': 4, '$n_exit': 9, '$s_maybe_block_sites_hosts_file': 1, '$s_move': 2, '$s_attrib': 6, '$n_copy': 6, '$n_start': 10, '$n_type': 7, '$n_echo': 26, '$n_reg': 11, '$s_aes': 1, '$s_cscript': 1, '$s_change_mouse_settings': 1, '$n_net': 3, '$n_find': 6, '$s_infinite_loop': 2, '$s_shutdown': 9, '$n_del': 6, '$n_goto': 12, '$s_generic_bat_maybe_copy_itself': 5, '$n_ipconfig': 2, '$n_maybe_time_change': 5, '$n_system': 2, '$s_tskill': 3, '$s_cpu_damage': 1, '$s_erase': 3, '$s_make_random_folders': 1, '$s_sleep': 4, '$n_bat_maybe_copy_itself': 9}
  Number of files scanned: 157
  

• python statiStrings.py -y .\batch_commands.yar -d .\batch_samples -t p
• Risultati:
  root@kitploit:~

  {'$s_maybe_block_sites_hosts_file': '0.64%', '$s_sleep': '2.55%', '$s_shutdown': '5.73%', '$s_attrib': '3.82%', '$s_change_mouse_settings': '0.64%', '$n_maybe_time_change': '3.18%', '$s_erase': '1.91%', '$s_move': '1.27%', '$n_net': '1.91%', '$s_aes': '0.64%', '$n_reg': '7.01%', '$n_system': '1.27%', '$n_set': '5.1%', '$s_cscript': '0.64%', '$n_find': '3.82%', '$s_generic_bat_maybe_copy_itself': '3.18%', '$s_cpu_damage': '0.64%', '$n_goto': '7.64%', '$s_tskill': '1.91%', '$s_ren': '0.64%', '$s_mem': '0.64%', '$n_type': '4.46%', '$s_taskkill': '2.55%', '$n_exit': '5.73%', '$n_echo': '16.56%', '$s_infinite_loop': '1.27%', '$n_start': '6.37%', '$s_make_random_folders': '0.64%', '$n_bat_maybe_copy_itself': '5.73%', '$n_ipconfig': '1.27%', '$s_reg_add': '5.1%', '$n_del': '3.82%', '$n_copy': '3.82%'}
  Number of files scanned: 157
  

Contatti

Link del progetto: https://github.com/Sh3llyR/statiStrings

Riconoscimenti

• Img Shields