Detection-Validation

目的

このツールは、実際のプロセスをセットアップすることなく、悪意のあるプロセスイベントのシミュレーションを自動化します。

たとえば、w3wp.exe が Powershell を起動することをテストしたい場合、w3wp.exe イベントをシミュレートするために IIS のセットアップを行う必要があります。検証するルールが多い場合、これは非常に手間のかかる作業です。検出エンジンは Sysmon や EDR などのテレメトリー収集ツールからの単純な文字列マッチングに基づいて動作するため、同じ親プロセス名、子プロセス名、コマンドライン、およびパスを持つ任意のバイナリを使用してロジックをテストできます。したがって、その動作をシミュレートするために IIS をセットアップする必要はありません。

このツールを使用すると、カスタムの親、子、コマンドライン、およびパスを持つ子プロセスを作成できます。さらに、特定のプロセスとパスからのファイル作成、DNS クエリ、レジストリ、プロセス接続などの他のイベントもサポートしています。

NAME:
   Malware Cli - A new cli application

USAGE:
   main.exe [global options] command [command options] [arguments...]

DESCRIPTION:
   Detection validation tool.
   The objective is to generate event with specific conditions to validate detection rule.
   You can execute commands such as w3wp.exe spawning shell or winword creating file or making DNS queries.

COMMANDS:
   argsfree    Accept any commandline
   connect     Connect to host
   download    Download file
   dnsquery    Resolve DNS
   execute     Execute command with custom commandline and parent process
   encrypt     encrypt all files in a folder that match a pattern
   createfile  Create file at a spcific path
   reg         Add registry key
   help, h     Shows a list of commands or help for one command

GLOBAL OPTIONS:
   --help, -h  show help

例

winword.exe が cscript.exe を起動

 mcli.exe execute --parent winword.exe --command cscript.exe

rundll32.exe が DNS リクエストを実行

mcli.exe dnsquery --binpath c:\temp\rundll32.exe --host malicious.com

w.exe が C:\temp のパスからファイルを作成

mcli.exe createfile --path f.dat --binpath c:\temp\w.exe

インストール

Windows (Powershell)

アプリを実行して前提条件をダウンロードし、実行を確認する

go run .

アプリをコンパイルする

go build -o mcli.exe .

detection-validation

人気