cert-polska/malduck🦆 Malduckはマルウェア分析の旅におけるあなたのダッキーな相棒です。
Malduck はマルウェア解析の旅におけるあなたのアヒルの相棒です。主に Roach プロジェクトをベースにしており、Maciej Kotowicz 氏が作成した mlib ライブラリから多くの概念を継承しています。フォークの目的は、Roach を Cuckoo Sandbox プロジェクトから独立させつつ、その内部 procmem フォーマットを引き続きサポートすることでした。
Malduck は CERT.pl のコードベースに由来する多くの改良を提供し、マルウェア解析用に書かれたスクリプトをより短く、より強力にします。
from malduck import aes
key = b'A'*16
iv = b'B'*16
plaintext = b'data'*16
ciphertext = aes.cbc.encrypt(key, iv, plaintext)
from malduck import serpent
key = b'a'*16
iv = b'b'*16
plaintext = b'data'*16
ciphertext = serpent.cbc.encrypt(key, plaintext, iv)
from malduck import aplib
# Headerless compressed buffer
aplib(b'T\x00he quick\xecb\x0erown\xcef\xaex\x80jumps\xed\xe4veur`t?lazy\xead\xfeg\xc0\x00')
from malduck import DWORD
def sdbm_hash(name: bytes) -> int:
hh = 0
for c in name:
# operations on the DWORD type produce a dword, so a result
# is also a DWORD.
hh = DWORD(c) + (hh << 6) + (hh << 16) - hh
return int(hh)
from malduck import Extractor
class Citadel(Extractor):
family = "citadel"
yara_rules = ("citadel",)
overrides = ("zeus",)
@Extractor.string("briankerbs")
def citadel_found(self, p, addr, match):
log.info('[+] `Coded by Brian Krebs` str @ %X' % addr)
return True
@Extractor.string
def cit_login(self, p, addr, match):
log.info('[+] Found login_key xor @ %X' % addr)
hit = p.uint32v(addr + 4)
print(hex(hit))
if p.is_addr(hit):
return {'login_key': p.asciiz(hit)}
hit = p.uint32v(addr + 5)
print(hex(hit))
if p.is_addr(hit):
return {'login_key': p.asciiz(hit)}
from malduck import procmempe
with procmempe.from_file("notepad.exe", image=True) as p:
resource_data = p.pe.resource("NPENCODINGDIALOG")
次のコマンドでインストールします
pip install malduck
詳細なドキュメントは readthedocs をご覧ください。
