kevthehermit/ratdecoders一般的なリモートアクセス型トロイの木馬向けのPythonデコーダー
Malconf は、特定のマルウェアファミリを静的解析し、インシデント対応担当者がインシデント中に使用できる設定データを抽出するために使用できる python3 ライブラリです。
ライブラリとして、自動マルウェア解析パイプラインにインストールすることもできます。
pip セットアップと requirements.txt に含まれる前提条件がいくつかあります。
すべてのデコーダを使用するには、yara と yara-python が必要です。.NET マルウェアを扱うには、dotnet サポート付きの yara-python をインストールする必要があります。
git clone --recursive https://github.com/VirusTotal/yara-python
python3 setup.py build --enable-magic --enable-dotnet
sudo python3 setup.py install
pip3 install --upgrade malwareconfig
git clone [email protected]:kevthehermit/RATDecoders.git
cd RATDecoders
pip3 install -r requirements.txt
python3 setup.py install
現在サポートされている RAT の一覧は次のとおりです。
提供されているコマンドラインツール malconf を使用すると、単一のファイルまたは -r フラグを付けたディレクトリを渡すことができ、ファミリを自動的に検出して設定を抽出しようとします。
また、-o オプションを使用して、結果をファイルに書き出すこともできます。
malconf
malconf -l サポートされているすべての RAT を一覧表示します。
malconf /path/to/sample ファミリを自動的に検出し、デコーダを実行します。
⇒ malconf tests/samples/alienspy
__ __ _ ____ __
| \/ | __ _| |/ ___|___ _ __ / _|
| |\/| |/ _` | | | / _ \| '_ \| |_
| | | | (_| | | |__| (_) | | | | _|
|_| |_|\__,_|_|\____\___/|_| |_|_|
Malware Configuration Parser by @kevthehermit
[+] Loading File: tests/samples/alienspy
[-] Found: AlienSpy
[-] Running Decoder
[-] Config Output
{'ConfigKey': 'fzGUoTaQH3SUW7E82IKQK2J2J2IISIS',
'NAME': 'ok',
'Version': 'B',
'connetion_time': '0',
'desktop': 'true',
'dns': '213.208.129.211',
'extensionname': 'qQJ',
'folder': 'java',
'instalar': 'true',
pip install すれば、ライブラリとしても使用できます。
from malwareconfig import fileparser
from malwareconfig.modules import __decoders__, __preprocessors__
# Open and parse the file
sample_path = '/path/to/sample.exe'
file_info = fileparser.FileParser(file_path=sample_path)
# Check for a valid decoder and then parse
if file_info.malware_name in __decoders__:
module = __decoders__[file_info.malware_name]['obj']()
module.set_file(file_info)
module.get_config()
conf = module.config
pprint(conf)
功績はすべてしかるべき人物・団体に帰属します。
Malware.lu による初期の Xtreme RAT の解析記事 - https://code.google.com/p/malware-lu/wiki/en_xtreme_RAT
Fireye による Poison Ivy および Xtreme RAT の解析記事（私のツイートを無視しましたが :-) ） - http://www.fireeye.com/blog/technical/2014/02/xtremerat-nuisance-or-threat.html
Shawn Denbow 氏と Jesse Herts 氏の論文はこちら - http://www.matasano.com/research/PEST-CONTROL.pdf 多くの時間を節約できました。