jpcertcc/malconfscanVolatilityプラグイン: 既知のマルウェアの設定データ抽出
MalConfScan は、既知のマルウェアの設定データを抽出する Volatility プラグインです。Volatility は、インシデント対応やマルウェア解析のためのオープンソースメモリフォレンジックフレームワークです。このツールはメモリイメージ内のマルウェアを検索し、設定データをダンプします。さらに、悪意のあるコードが参照する文字列を一覧表示する機能も備えています。
MalConfScan は以下のマルウェア設定データ、デコードされた文字列、または DGA ドメインをダンプできます。
MalConfScan には、悪意のあるコードが参照する文字列を一覧表示する機能があります。通常、設定データはマルウェアによってエンコードされます。マルウェアはデコードされた設定データをメモリに書き込むため、メモリ内に存在する可能性があります。この機能により、デコードされた設定データが一覧表示されることがあります。
詳細については、MalConfScan の Wiki をご確認ください。
MalConfScan には malconfscan、linux_malconfscan、malstrscan の 2 つの機能があります。
$ python vol.py malconfscan -f images.mem --profile=Win7SP1x64
$ python vol.py linux_malconfscan -f images.mem --profile=LinuxDebianx64
$ python vol.py malstrscan -f images.mem --profile=Win7SP1x64
次の YouTube 動画 は、MalConfScan の概要を示しています。
また、次の YouTube 動画 は、MalConfScan のデモンストレーションです。
MalConfScan を Cuckoo Sandbox に追加することで、マルウェアの設定データを自動的にダンプできます。Cuckoo と MalConfScan の統合に関する詳細は、MalConfScan with Cuckoo をご確認ください。