 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

Online Hash Checker for Virustotal and Other Services
Florian Roth

Munin とは？

Munin は、さまざまなオンラインソースから有益な情報を取得するオンラインハッシュチェッカーユーティリティです。

現在のバージョンの Munin は以下のサービスを照会します。

スクリーンショット

デフォルトモード - ファイルからハッシュを読み取り

Munin スクリーンショット

使用法

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Online Hash Checker

optional arguments:
  -h, --help            このヘルプメッセージを表示して終了
  -f path               処理するファイル（ハッシュを一行ずつ、または各行にハッシュを含むCSV - 位置とコメントを自動検出）
  --vh search-string    キーワード、タグ、YARAルール名、Mitre ATT&CKソフトウェア（例：S0154）、テクニック（例：T1023）、脅威グループ（例：G0049）でValhallaのハッシュを検索
  --vhrule search-string
                        キーワード、タグ、YARAルール名、Mitre ATT&CKソフトウェア（例：S0154）、テクニック（例：T1023）、脅威グループ（例：G0049）でValhallaのルールによるハッシュを検索
  -o output             結果の出力ファイル（CSV）
  --vtwaitquota         VTのクォータを超えた場合、終了せずに翌日まで待機
  --vtminav min-matches VTからハッシュ情報を取得するための最低AV一致数
  --limit hash-limit    バッチモードでこれだけの新しいハッシュを処理したら終了（キャッシュは無視）
  --vhmaxage days       Valhallaで処理するサンプルの最大経過日数
  -c cache-db           キャッシュデータベースファイルの名前（デフォルト：vt-hash-db.json）
  -i ini-file           APIキーを保持するiniファイルの名前
  -s sample-folder      処理するサンプルを含むフォルダ
  --comment             分析されたハッシュに対して、ログ行のコメントを含むコメントを投稿
  -p vt-comment-prefix  VirusTotalコメントのプレフィックス
  --download             Hybrid Analysisからのサンプルダウンロードを有効にする。サンプルのSHA256が必要
  -d download_path       Hybrid Analysisからのサンプルダウンロードの出力パス。フォルダは存在している必要がある
  --nocache              キャッシュデータベースファイルを使用しない
  --nocsv                結果のCSVを書き出さない
  --verifycert           SSL/TLS証明書を検証
  --sort                 入力行をソート
  --web                  MuninをWebサービスとして実行
  -w port                Webサービスポート
  --cli                  Muninをコマンドラインインターフェースモードで実行
  --rescan               分析された各ファイルの再スキャンをトリガー
  --debug                デバッグ出力

機能

VirusTotalからAPI（JSON応答）を介して、またパーマリンク（HTML解析）を介して他の情報から有益な情報を取得
プラットフォームのリストから追加情報を取得
テキストファイルに複数回出現する可能性があるハッシュを、サービスに一度だけ照会するために履歴（キャッシュ）を保持
キャッシュされたオブジェクトはJSONで保存
結果をCSVファイルに出力し、簡単な後処理とレポート作成が可能
可能であれば以前のCSVに結果を追加

表示内容

ハッシュとコメント（コメントはハッシュが抽出された行の残りの部分）
ユーザー定義リストに基づくAVベンダー一致
実際に使用されたファイル名
説明、元のファイル名、著作権表示などのPE情報
署名付きポータブル実行ファイルの署名者
VirusTotalの比率に基づく結果
最初と最後の提出
特定の指標に対するタグ：Harmless、Signed、Expired、Revoked、MSSoftware

追加チェック

MalShare.comへのサンプルアップロードの照会
Hybrid-Analysis.comへのレポートの照会
複数のMISPインスタンスへの利用可能なイベントの照会
Any.runサンドボックスへのレポートの照会
CAPEサンドボックスへのレポートの照会
URLhausへのレポートの照会
MalShareへの利用可能なサンプルの照会
ValhallaへのYARAルール一致の照会
現在のバッチ内のImphash重複チェック → インポートテーブルのハッシュの重複を発見可能
PE署名の重複チェック

動作モード

デフォルト - 入力ファイル（-f）によるハッシュの指定、またはサンプルディレクトリ（-s）の指定
クエリ - キーワード、タグ、ATT&CKテクニック（例：T1023）、ATT&CK脅威グループ（例：G0049）、ルール名（-q）でValhallaからハッシュを検索
コマンドラインインターフェース - --cli パラメータを使用
Webサービスモード - --web パラメータを使用

はじめに

リポジトリをダウンロード/クローン
必要なパッケージをインストール: pip3 install -r requirements.txt（macOSの場合は --user を追加）
カスタムiniファイルに各サービスのAPIキーを設定: cp munin.ini my.ini（ヘルプとして「APIキーの取得」セクションを参照）
デモファイルで初回実行: python munin.py -i my.ini -f munin-demo.txt

必要条件

Python 3.7 以上
インターネット接続（プロキシ対応。SSL/TLSインターセプションが問題になる可能性あり）

一般的なコマンドライン例

VirusTotal Retrohuntの結果を処理し、チェック前に行をソートして、一致したシグネチャがブロック単位でチェックされるようにする

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

サンプルを含むディレクトリを処理し、そのハッシュをオンラインでチェック

python3 munin.py -i my.ini -s ~/malware/case34

コマンドラインインターフェースモードを使用（v0.14 の新機能）

python3 munin.py -i my.ini

APIキーの取得

VirusTotal

こちらでアカウントを作成: https://www.virustotal.com/#/join-us
「プロフィール > My API key」で公開APIキーを確認

MalShare

こちらで登録: https://malshare.com/register.php

Malware Bazaar

こちらで登録: https://bazaar.abuse.ch/。その後、アカウント概要でAPIキーを確認できます。

Hybrid Analysis

こちらでアカウントを作成: https://www.hybrid-analysis.com/signup
ログイン後、「プロフィール > API key」を確認

MISP

MISPにログイン
プロフィール「My Profile」に移動
「Authkey」の値をAPIキーとして使用
iniファイルでは、MISPインスタンスのリストとそれぞれのAPIキーのリストの両方を使用することに注意

Valhalla

現在は顧客または招待された研究者のみ対象
https://valhalla.nextron-systems.com/

Hashlookup

Hashlookup CIRCLのインスタンスは無料で提供され、ベストエフォートベースで運用されています。

コマンドラインインターフェースモード

--cli を指定してmuninを起動し、指示に従ってください。

例:

python3 munin.py -i my.ini --cli

ハッシュ値を含むコンテンツを貼り付け、CTRL+D で入力を確定します。最終行の末尾には改行が必要です。

デフォルトでは、現在の日付を含むファイル名でCSVファイルが作成されます。

Munin CLI

Webサービスモード

--web を指定してmuninを起動し、オプションでポート -w port を選択します。

例:

python3 munin.py -i my.ini --web -w 8080

Webサービスは以下のURLスキームで文字列を待ち受けます。

http://server:port/<string>

文字列は改行を含まない任意の文字列です。例:

Emotet:1585ad28f7d1e0ca696e6c6c2f1d008a
ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa;IOC1
dc9b5e8aa6ec86db8af0a7aa897ca61db3e5f3d2e0942e319074db1aaccfdc83

munin

人気