pegasus-malware-scan

説明

Pegasus Malware Scanは、高度な脅威検出とマルウェア解析のために設計された包括的なサイバーセキュリティソリューションです。Pythonで構築されたこの強力なツールは、多層的な検出技術を採用し、一般的なウイルスから高度な持続的脅威（APT）に至るまで、幅広い悪意のあるソフトウェアを特定・無力化します。

Pegasus Malware Scanとは？

Pegasus Malware Scanは、従来のハッシュベースの検証と最新の行動分析、機械学習機能を組み合わせた、次世代のマルウェア検出ツールです。主にシグネチャベースの検出に依存する従来のアンチウイルスソリューションとは異なり、Pegasusはハイブリッドアプローチを実装しており、既知の脅威と、異常検出を通じてこれまで発見されていなかったマルウェアの両方を識別できます。

主な利点

• 軽量だが強力: 最適化されたコードにより、包括的な保護を維持しながら、最小限のシステムリソース使用量を実現
• 多層検出: 複数の検出方法を組み合わせ、多様な脅威に対して最大の効果を発揮
• エンタープライズ対応: 個別システムから大規模組織への展開まで、一元管理でスケール可能
• カスタマイズ可能: 様々な環境のセキュリティ要件に合わせて高度に設定可能
• オープンアーキテクチャ: 既存のセキュリティインフラやツールとの統合を考慮して設計

使用例

• インシデント対応: アクティブなセキュリティインシデント発生時にシステムを迅速にスキャンし、マルウェアの存在を特定
• デジタルフォレンジック: 不審なファイルやシステムを分析し、セキュリティ調査の証拠を収集
• システム強化: 展開前にシステムの整合性を確保するための包括的なスキャンを実施
• 継続的監視: 重要なシステムにおいて進化する脅威に対する継続的な保護を実装
• セキュリティ研究: 詳細なスキャン機能によりマルウェア解析と研究を支援

技術仕様

• 言語: クロスプラットフォーム対応のためPython 3.6+で構築
• データベース: 脅威インテリジェンスストレージに最適化されたNoSQLデータベースを使用
• システム要件:
  • 最小: 2GB RAM、500MB ディスク容量、シングルコアプロセッサ
  • 推奨: 4GB RAM、1GB ディスク容量、マルチコアプロセッサ
• 対応プラットフォーム: Windows、macOS、Linux（Ubuntu、CentOS、Debian）
• API統合: 他のセキュリティツールとの統合のためのRESTful API
• コンテナ: Docker対応により容易な展開とスケーリングを実現

システムアーキテクチャ

Pegasus Malware Scanは、複数のコアコンポーネントからなるモジュラーアーキテクチャを採用しています。

1. スキャンエンジン: 様々な検出方法を用いてファイル解析を担当する主要コンポーネント
2. 脅威インテリジェンスモジュール: 既知の脅威と侵害指標（IoC）の最新データベースを維持
3. 行動分析サブシステム: サンドボックス環境で不審なファイルを実行・監視
4. レポート＆アラートシステム: 詳細なレポートを作成し、検出された脅威に関する通知を送信
5. 管理コンソール: 設定と監視のための統合インターフェースを提供
6. 統合レイヤー: 外部システムやセキュリティツールとの通信を促進

モジュラー設計により、コアシステムに変更を加えることなく、機能の更新や拡張が容易に行えます。

導入シナリオ

Pegasus Malware Scanは、組織の多様なニーズに対応するため、複数の導入シナリオをサポートしています。

• スタンドアロン展開: 個々のエンドポイントに直接インストールし、独立した保護を実現
• クライアント・サーバーモデル: 軽量エージェントをエンドポイントに展開し、中央管理サーバーで一元管理
• クラウドベース展開: クラウドホスト型の管理・分析機能を備えたSaaSモデル
• ハイブリッド展開: オンプレミスとクラウドコンポーネントを組み合わせて最適なパフォーマンスを実現
• エアギャップネットワーク: 隔離された高セキュリティ環境向けの特別な導入オプション

セキュリティコンプライアンスと標準

Pegasus Malware Scanは、組織が複数のフレームワークにわたるセキュリティコンプライアンス要件を満たすのを支援するよう設計されています。

• GDPR、HIPAA、PCI DSS、NISTサイバーセキュリティフレームワークへの準拠をサポート
• セキュアな開発のためのOWASPセキュリティベストプラクティスに準拠
• 機密情報に対する適切なデータ処理方法を実装
• コンプライアンス報告に適した監査証跡を提供
• 新しいセキュリティ基準への対応を定期的に更新

オリジナルプロジェクトノート

• ハッシュ比較による非常に基本的なマルウェアスキャナー
• インシデント対応時に必要になる場合がある
• 対応中に新規または不審なファイルを発見した場合、それらのファイルがシステム上のどこに存在するかを確認したいでしょう。そのため、このようなツールが必要になるかもしれません。これはデモ版であり、完全版ではありません。コードを変更・修正して、ご自身のものにしてください。
• 変更が必要な点や追加機能のご要望がありましたらお知らせください。
• 役に立った場合は「スター」を押してください。継続的な改善に繋がります。

著者

• Letda Kes dr. Muhammad Sobri Maulana, S.Kom, CEH, OSCP, OSCE
• GitHub: github.com/sobri3195
• 連絡先: [email protected]

寄付

このプロジェクトを支援: https://lynk.id/muhsobrimaulana

機能

コアスキャン機能

• ハッシュに基づくファイル検査（無料マルウェアハッシュ）: 無料のマルウェアハッシュデータベースを利用して、既知の悪意のあるファイルを暗号学的ハッシュの比較により特定します。シグネチャベースの検出を必要としません。
• サブディレクトリを含むスキャン: 対象パス内のすべてのサブディレクトリを自動的に走査し、ファイルシステムを包括的にカバーします。
• マルチスレッド処理: 並列処理を採用し、複数のファイルを同時にスキャンすることで、マルチコアシステムでのスキャン時間を大幅に短縮します。
• スキャンするファイル拡張子の指定: ユーザーがスキャンするファイルタイプをカスタマイズでき、実行可能なファイルや危険なファイル形式にリソースを集中させることができます。
• スキャンしないディレクトリの指定: 特定のディレクトリを除外し、機密領域のスキャンを防止したり、パフォーマンスを向上させることができます。

統合とレポート

• スキャンログをSIEM（例：Splunk）に簡単に添付: セキュリティ情報・イベント管理システムで直接取り込める形式のログを生成し、一元監視を実現します。
• 複数形式（CSV、JSON、XML）でのスキャン結果エクスポート: 様々な分析ツールやレポートシステムとの統合に対応するため、複数のエクスポート形式をサポートします。
• 検出された脅威に対するメール通知: 悪意のあるファイルが発見された際に自動的にアラートを送信し、セキュリティインシデントを即座に把握できます。
• 詳細な脅威分析とレポートダッシュボード: スキャン結果、脅威の分布、システムセキュリティステータスに関する包括的な可視化とメトリクスを提供します。

高度な検出機能

• アクティブ監視のためのリアルタイムスキャン機能: ファイルシステムのアクティビティを継続的に監視し、スケジュールスキャンを待たずに脅威が現れた時点で検出します。
• クラウドベースの脅威インテリジェンスプラットフォームとの統合: 外部の脅威インテリジェンスサービスに接続し、最新情報で検出能力を強化します。
• 不審なファイルの行動分析: 制御された環境でファイルが実行された際の動作を調査し、静的解析では見逃される可能性のある悪意のあるパターンを特定します。
• 未知のファイルのサンドボックス実行: 不審なファイルを隔離された環境で実行し、その動作を安全に観察して悪意の有無を判断します。
• ファイルレスマルウェア検出のためのメモリスキャン: ディスクにファイルを書き込まずにメモリ上だけで動作するマルウェアを識別し、従来のスキャンを回避する高度な脅威を検出します。
• Windowsシステムのレジストリスキャン: Windowsレジストリを調査し、マルウェアの永続化メカニズムを示す不審なエントリを特定します。
• マルウェアファミリーの識別と分類: 検出されたマルウェアをファミリーに分類し、脅威、その機能、潜在的な影響に関するコンテキストを提供します。

管理機能

• 扱いやすく変更可能なコード/機能構造: モジュラーアーキテクチャにより、機能のカスタマイズや拡張が容易に行えます。
• カスタマイズ可能な頻度でのスケジュールスキャン: ユーザーは好みの間隔（毎時、毎日、毎週）で定期的なスキャンを設定し、システムセキュリティを維持できます。
• ネットワーク接続デバイスのリモートスキャン: 中央管理ポイントからネットワーク全体のスキャン機能を拡張し、接続されているすべてのデバイスを保護します。
• USBデバイスのスキャンと監視: USBデバイスが接続された際に自動的に検出・スキャンし、リムーバブルメディアを介したマルウェアの侵入を防止します。
• 感染ファイルのシステム隔離機能: 検出されたマルウェアを安全に隔離し、実行や拡散を防ぎながら、さらなる分析を可能にします。
• カスタマイズ可能なスキャンポリシーと脅威対応アクション: 管理者は、アラートから自動修復まで、様々な脅威タイプに対するシステムの対応方法を定義できます。

v1.0.5

• https://github.com/sobri3195/pegasus-malware-scan/blob/main/CHANGES

プレビュー

スキャン結果ログ

• datetime, scan_id, os, hostname, ip, file.........hash,

datetime="2022-12-23 13:52:45",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\chrome.exe",sha256="45de9f5a25bf478c6a8d8625a984895c9b3fdea6eb12a55ddd088dcebd9df5ab",created_at="2022-05-02 21:33:38",modified_at="2022-04-14 06:17:04"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineLauncher.exe",sha256="60fd9ceac8d1c40e835d3dc9aa77599d3f810a646199ecbdcb8003521ce7d502",created_at="2022-05-10 12:38:18",modified_at="2022-03-10 18:00:10"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineUpdater.exe",sha256="6b663f9f7bf3b6c1a2ce898b2402b691fff6dced36e9b0196e152bbfc409db42",created_at="2022-05-10 12:38:22",modified_at="2022-04-06 10:06:28"
datetime="2022-12-23 13:52:47",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\PCHunter32.exe",sha256="0544b99c52d607712d70351c6d9afb1fba6adb0de256baf662f06fdf6058aa3d",created_at="2022-05-10 11:36:04",modified_at="2017-08-14 02:27:08"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\report.xlsx",sha256="dd1dc1cb4ffa3e1b91f00496436416807f6153d53ac45e67ce1287c842bd5e3e",created_at="2022-04-27 23:53:33",modified_at="2021-09-07 10:52:40"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\TWOD_Launcher.exe",sha256="1d55ab0a703f2b8f5cc0d3cc93bedf7c03799b2b3e42defc83c175da8a125962",created_at="2022-04-27 23:54:50",modified_at="2022-04-07 09:14:08"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\unins000.exe",sha256="2da3b504c2b68219c0b4c6f062867dae091560c3f1e0735f1a7b17b1d79b5a90",created_at="2022-04-27 23:54:53",modified_at="2022-04-26 12:19:01"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\vmware-view.exe",sha256="17b21902170784d460fd0168e08f6e2075d6eb0a501093bc35184c550d73b5d8",created_at="2022-05-10 12:38:38",modified_at="2020-07-07 18:08:06"