このプロジェクトは、Threat Intelligence Analyzer ロールの日常的なタスクを 内部的に 自動化し、外部リソースとのやりとりを必要としません。異なるモジュールを使用して特徴、アーティファクト、IoCを抽出することで、機密性の高いファイル（マルウェア）やデータを分析、可視化、構造化します。これらのモジュールの出力は、研究やSOCプラットフォームに簡単に統合できます。
インストール
git clone https://github.com/qeeqbox/analyzer.git && cd analyzer && chmod +x run.sh && ./run.sh auto_configure
インターフェース
出力
機能
- ローカルで実行（オフライン）
- バッファ、ファイル、またはフォルダ全体を分析
- リアルタイム分析（セッションは保存されます）
- 2つのモード（インタラクティブとサイレント）
- HTMLまたはJSONとして出力を生成
- 詳細を含む出力ファイルをmongodbにダンプ
- 生のJSON結果をmongodbに保存
- 基本ファイル情報（MD5、charset、mime、ssdeep）
- さまざまな文字列/パターン分析手法
- WebサービスとAPI
- ポート、IPヒント、国情報
- 世界のIPイメージと国旗
- DNSサーバーの説明（トップサーバー）
- アーティファクトの力指向画像
- 相互参照の力指向画像とテーブル
- クラスに分割された類似性画像
- YARAモジュール、およびyara-rules-githubからのYARAルール
- YARAモジュールにはインデックスによる条件とタグが含まれます
- ホワイトリスト実装（Windows7、8、10のファイル）
- WAFとバイパスプロキシのチェック
- スペルと句読点のチェック
- トップフィッシング単語を含む
- Snortサポート
- PDF、RTF、フィッシング、MS Office、HTMLモジュール
- NL英語単語検出
- OCR単語検出
- Webサイト類似性検出（トップ10000）
- BOM（バイトオーダーマーク）検出
- MITRE ATT&CKツールとパターン検出（FPの可能性あり）
- URL短縮サービスの抽出
- UNICODEからのASCII抽出
- フリー/偽メールアドレスの抽出
- URL、EMAIL、TELタグパターンの抽出
- クレジットカード、資格情報、シークレットパターンの抽出
- 暗号化パターン（base64、md5、sha1...）の抽出
- DGA（ドメイン生成アルゴリズム）パターンの抽出
モジュール
- Linuxラッパー - ELF情報、API関数の説明、システムコマンドの説明、セクションの説明、ライブラリの説明、暗号化セクションの検出、シンボル抽出、MITREアーティファクトの検出マッピング、相互参照検出、動作検出
- Windowsラッパー - PE情報、暗号化セクションの検出、セクションの説明、DLLの説明、シンボル抽出、署名抽出と検証、APIの説明、PE ASLR、DEP、SEH、CFG検出、MITREアーティファクトの検出マッピング、API動作検出、DLLインジェクション、プロセスハロウイング、プロセスドッペルゲンギングなど、相互参照検出、アイコン抽出、文字列ファイル情報の抽出、FileDescriptionなど
- Androidラッパー - APK情報、DEX情報、マニフェストの説明、インテントの説明、リソース抽出、シンボル抽出、クラス抽出、大規模関数の識別、相互参照検出、API動作検出
- iPhone組み込み - IPA情報
- BlackBerry COD組み込み - COD情報、関数抽出、文字列抽出
- PCAPラッパー - フレームフィルター、HTTPフィルター、DNSフィルター、ARPフィルター、WAF検出、DGA検出、Snort解析
- PDF組み込み - オブジェクトの列挙、キー、javascript、js、OpenActionの抽出、ストリーム解析、文字列分析
- Office組み込みおよびラッパー - メタ情報抽出、ハイパーリンクとターゲットリンクの抽出、バイナリ印刷可能パーサー、テキスト抽出、DDE抽出、マクロ抽出
- OLEラッパー - オブジェクト数、オブジェクト抽出、マクロ抽出
- EMAIL組み込みおよびラッパー - ヘッダー情報、添付ファイルの抽出と解析、本文抽出、フィッシングパターンチェック
- アーカイブラッパー - MIMEの抽出と拡張子による推測、すべての展開ファイルでのパターン検出、暗号化アーカイブの検出
- HTMLラッパー - スクリプト、iframe、リンク、フォームの抽出、リンクのデコード/分析、スクリプトエントロピー
- 一部のパターン - AWS Client ID、Amazon MWS Auth Token、Amazon S3、ALIYUN OSS、AZURE Storage、Facebook Access Token、Github Token、Google API Key、Google CAPTCHA、Google OAuth、Google Secret、Google OAuth Access Token、Mailgun API Key、MailChimp API、Picatic API、Slack Token、Square Access Token、Square OAuth Secret、Stripe API、Twilio API、Twilio SID
ワンクリック自動設定
git clone https://github.com/qeeqbox/analyzer.git
cd analyzer
chmod +x run.sh
./run.sh auto_configure
初期化プロセスが完了すると、プロジェクトのインターフェース http://127.0.0.1:8000/login/ が自動的に開きます。
または、すでにdocker-composeをお持ちの場合
docker-compose -f docker-compose-dev.yml up --build
その後、http://127.0.0.1:8000/login/ を開いてください。
前提条件
apt-get install -y python3 python3-pip curl libfuzzy-dev yara libmagic-dev libjansson-dev libssl-dev libffi-dev tesseract-ocr libtesseract-dev libssl-dev swig p7zip-full radare2 dmg2img mongodb redis
pip3 install pyelftools macholib python-magic nltk Pillow jinja2 ssdeep pefile scapy r2pipe pytesseract M2Crypto requests tld tldextract bs4 psutil pymongo flask pyOpenSSL oletools extract_msg
一部のモジュールには前提条件パッケージが必要です（これらのパッケージの使用に問題がある場合、私が以前C#\Cで開発した独自の代替案を共有できるかもしれません）
ロードマップ
- Java分析（ユーザーから要望あり）
- Web検出
- データベースへのユーザー名とパスワードラッパーの追加
- CSSのクリーンアップ
リソース
Linux documentation, MacOS documentation, Windows documentation, Android documentation, software77, MITRE ATT&CK™, sc0ty, hexacorn, PEID, steren, bacde, cisco umbrella , yara rules community , TONS OF RESEARCHES
その他のライセンス
このフレームワークを使用することにより、以下のすべてのパッケージのライセンス条項に同意したものとみなされます: yara, Yara-Rules, tesseract-ocr, swig, radare, vu1tur, oletools, mongodb, supervisor, msg-extractor, snort, pyelftools, macholib, pefile, scapy, python-magic, flask, werkzeug, gunicorn, flask-mongoengine, flask-admin, flask-login, flask-bcrypt, pyopenssl, flask-markdown, tld, psutil, gevent, dateutil, requests, pymongo, BeautifulSoup, tldextract, m2crypto, radare2, ssdeep, jinja2, Pillow, nltk, p7zip, redislabs, redis-py
免責事項/注意
- 適切な設定なしでデプロイしないでください
- セキュリティグループルールを設定し、デフォルトの認証情報を削除してください
- このプロジェクトはアンチマルウェアプロジェクトではなく、悪意のあるファイルを隔離または削除するものではありません
- このプロジェクトは機密データの分析と、インターネット/外部とのやりとりなしでローカルでAIをトレーニングするために開発されました
- リソースや依存関係を見落とした場合はお知らせください
その他のプロジェクト
