IRFuzz - Yaraルールを使用したシンプルなスキャナー

IRFuzzは、ドキュメントアーカイブや任意のファイルをスキャンするためのYaraルールを使用したシンプルなスキャナーです。

インストール

1. 前提条件

Linux または OS X

• Yara: 最新リリースのソースコードを使用し、コンパイルしてインストールするか（または pip install yara-python でインストール）してください。
• Yara Rules - ここからYaraルールをダウンロードするか、独自のカスタムルールセットをインポートできます。
• Pythonの依存関係

依存関係は pipenv で管理されています。開始するには、以下のコマンドで依存関係をインストールし、仮想環境をアクティベートします。

$ pipenv install

$ pipenv shell

IRFuzzの実行 - Watchd

IRFuzzの実行

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

サポートされている機能

• inotifyを使用して新しいファイルをスキャン
• inotifyがサポートされていない場合のポーリング
• カスタム拡張子のサポート
• 削除モード：マッチしたファイルを削除
• 再帰的なディレクトリスキャン
• マッチしたYara関数とyarastringsをctimeとともにリスト表示
• Filebeat向けのCSV結果出力

カスタム拡張子

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

アラートマッチングYaraルール

https://irfuzz.com/tokens からトークンを生成

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

ウェブサイトからTelegramまたはメールへのアラートを設定します。

マッチしたファイルの削除

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

ポーリング（inotify非サポート時）

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

--pollオプションを追加すると、データディレクトリの変更検出にポーリングメカニズムを強制的に使用します。ポーリングはOSの内部メカニズムよりも低速ですが、SMBマウントなどの特定のファイルシステムでは必要です。

拡張子が指定されていない場合のデフォルト拡張子

Microsoft Office Word 対応ファイル形式

.doc .docm .docx .docx .dot .dotm .dotx .odt

Microsoft Office Excel 対応ファイル形式

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

Microsoft Office PowerPoint 対応ファイル形式

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

IRFuzzは、ZIPファイル分析に zipdump.py を使用しています。