mandiant/flare-fakenet-ngFakeNet-NG - 차세대 동적 네트워크 분석 도구
| ____/\ | |/ / ____| \ | | ____|__ __| | \ | |/ ____|
| |__ / \ | ' /| |__ | \| | |__ | |______| \| | | __
| __/ /\ \ | < | __| | . ` | __| | |______| . ` | | |_ |
| | / ____ \| . \| |____| |\ | |____ | | | |\ | |__| |
|_|/_/ \_\_|\_\______|_| \_|______| |_| |_| \_|\_____|
D O C U M E N T A T I O N
FakeNet-NG 3.5는 맬웨어 분석가와 침투 테스터를 위한 차세대 동적 네트워크 분석 도구입니다. 오픈 소스이며 최신 Windows(및 Linux, 특정 작동 모드에서)용으로 설계되었습니다. FakeNet-NG는 Andrew Honig와 Michael Sikorski가 개발한 훌륭한 Fakenet 도구를 기반으로 합니다.
이 도구를 사용하면 실제 네트워크 서비스를 시뮬레이션하면서 모든 네트워크 트래픽 또는 특정 네트워크 트래픽을 가로채고 리디렉션할 수 있습니다. FakeNet-NG를 사용하면 맬웨어 분석가가 맬웨어의 기능을 신속하게 식별하고 네트워크 서명을 캡처할 수 있습니다. 침투 테스터와 버그 헌터는 애플리케이션의 특정 기능을 테스트하고 PoC를 프로토타이핑할 때 FakeNet-NG의 구성 가능한 차단 엔진과 모듈식 프레임워크가 매우 유용하다는 것을 알게 될 것입니다.
FakeNet-NG는 몇 가지 다른 방법으로 설치할 수 있습니다. 아래 설치 과정에서는 FakeNet-NG가 사용하는 타사 오픈 소스 라이브러리를 시스템에 가져옵니다. 이러한 라이브러리는 런타임에 동적으로 로드되며, 일부 라이브러리는 LGPL 라이선스가 적용될 수 있습니다.
릴리스 페이지에서 제공되는 컴파일된 버전을 다운로드하는 것이 가장 간단합니다:
https://github.com/mandiant/flare-fakenet-ng/releases
'fakenet.exe'를 실행하여 FakeNet-NG를 실행합니다.
추가 모듈을 설치할 필요가 없어 맬웨어 분석 환경에 이상적이므로 Windows에서 FakeNet-NG를 사용하는 경우 이 방법을 선호합니다.
참고: FakeNet-NG는 바이러스 백신(AV) 및 엔드포인트 탐지 및 대응(EDR) 솔루션(예: Windows Defender, Chrome의 안전한 브라우징)에서 악성으로 플래그 지정될 수 있습니다. 이는 네트워크 트래픽을 수정하고 네트워크 서비스를 시뮬레이션하는 기능과 PyInstaller를 사용하여 릴리스 실행 파일을 빌드한 데 기인할 수 있습니다. 공식 릴리스 바이너리는 안전하며, 이러한 탐지는 오탐지로 간주되어야 합니다. 상기하자면, FakeNet-NG는 가상 머신(VM)과 같이 통제되고 격리된 환경에서 사용하도록 설계되었으며, 해당 환경에서 시스템의 네트워크 설정을 안전하게 변경할 수 있습니다.
Python 3.10.11과 Windows/Linux OS용 최신 pip를 설치합니다.
Windows에서는 Visual C++ 빌드 도구를 다운로드하여 설치합니다.
Linux 설치에는 다음 종속성이 필요합니다:
다음 명령을 사용하여 이러한 종속성을 설치합니다:
sudo apt-get install build-essential python3.10-dev libnetfilter-queue-dev
pip를 사용하여 FakeNet-NG를 Python 모듈로 설치합니다:
python -m pip install https://github.com/mandiant/flare-fakenet-ng/zipball/master
또는 최신 소스 코드를 가져와 수동으로 설치합니다:
git clone https://github.com/mandiant/flare-fakenet-ng/
관리자 권한으로 다음 명령을 실행하여 Python 종속성을 설치합니다:
Linux(Ubuntu 24.04.2 LTS에서 테스트됨)에서는 setup.py를 실행하기 전에 다음 명령을 실행합니다:
python -m pip install --upgrade setuptools
# python 3.10용 wheel 빌드
python -m pip install --force-reinstall netifaces
# 테스트 중 "ModuleNotFoundError: No module named '_cffi_backend'" 오류 발생
# 이 명령은 cryptography용 cffi 패키지의 필수 버전을 가져옴
python -m pip install --upgrade cryptography
수동으로 설치하는 경우 다운로드한 flare-fakenet-ng 디렉토리로 변경하고 관리자 권한으로 다음을 실행합니다:
python setup.py install
Linux에서는 DNS 수신기를 위해 포트 53을 해제합니다:
sudo systemctl stop systemd-resolved
권한이 있는 셸에서 모든 디렉토리에서 'fakenet'을 실행하여 FakeNet-NG를 실행합니다.
마지막으로 FakeNet-NG를 설치하지 않고 그대로 실행하려는 경우(예: 개발 목적) 소스 코드를 가져와 다음과 같이 종속성을 설치해야 합니다:
64비트 또는 32비트 Python 3.10.11을 각각 Windows/Linux의 64비트 또는 32비트 버전에 설치합니다.
Windows에서는 관리자 권한으로 다음 명령을 실행하여 Python 종속성을 설치합니다:
python -m pip install pydivert dnslib dpkt pyopenssl pyftpdlib netifaces jinja2
참고: pydivert는 WinDivert 라이브러리와 드라이버를 %PYTHONHOME%\DLLs 디렉토리에 다운로드하여 설치합니다. FakeNet-NG는 이러한 파일을 번들로 제공하므로 정상적인 사용에는 필요하지 않습니다.
Linux에서는 관리자 권한으로 다음 명령을 실행하여 Python 종속성을 설치합니다:
python -m pip install --upgrade setuptools
# python 3.10용 wheel 빌드
python -m pip install --force-reinstall netifaces
# 테스트 중 "ModuleNotFoundError: No module named '_cffi_backend'" 오류 발생
# 이 명령은 cryptography용 cffi 패키지의 필수 버전을 가져옴
python -m pip install --upgrade cryptography
python -m pip install netfilterqueue dnslib dpkt pyopenssl pyftpdlib netifaces jinja2
선택적으로 테스트에 사용되는 다음 모듈을 설치할 수 있습니다:
python -m pip install requests
FakeNet-NG 소스 코드를 다운로드합니다:
git clone https://github.com/mandiant/flare-fakenet-ng
Linux에서는 DNS 수신기를 위해 포트 53을 해제합니다:
sudo systemctl stop systemd-resolved
권한이 있는 셸에서 Python 인터프리터로 FakeNet-NG를 실행합니다:
python -m fakenet.fakenet
FakeNet-NG를 실행하는 가장 쉬운 방법은 제공된 실행 파일을 관리자 권한으로 실행하는 것입니다. --help 명령줄 매개변수를 제공하여 간단한 도움말을 볼 수 있습니다:
C:\tools\fakenet-ng>fakenet.exe --help
______ _ ________ _ _ ______ _______ _ _ _____
| ____/\ | |/ / ____| \ | | ____|__ __| | \ | |/ ____|
| |__ / \ | ' /| |__ | \| | |__ | |______| \| | | __
| __/ /\ \ | < | __| | . ` | __| | |______| . ` | | |_ |
| | / ____ \| . \| |____| |\ | |____ | | | |\ | |__| |
|_|/_/ \_\_|\_\______|_| \_|______| |_| |_| \_|\_____|
Version 3.5
_____________________________________________________________
Developed by FLARE Team
Copyright (C) 2016-2026 Mandiant, Inc. All rights reserved.
_____________________________________________________________
Usage: python -m fakenet.fakenet [options]:
Options:
-h, --help show this help message and exit
-c FILE, --config-file=FILE
configuration filename
-v, --verbose print more verbose messages (default: False)
-l LOG_FILE, --log-file=LOG_FILE
-s, --log-syslog Log to syslog via /dev/log (default: False)
-f STOP_FLAG, --stop-flag=STOP_FLAG
terminate if stop flag file is created
-p, --no-pause disable pause for confirmation before closing the console
(default: pause)
-n, --no-console-output
Suppress console output (for testing on Linux)
위의 간단한 도움말에서 볼 수 있듯이 FakeNet-NG를 시작할 때 사용할 구성 파일을 구성할 수 있습니다. 기본적으로 도구는 configs\default.ini를 사용하지만, -c 매개변수로 변경할 수 있습니다. configs 디렉토리에는 몇 가지 예제 구성 파일이 있습니다. 다양한 설정이 많기 때문에 FakeNet-NG는 구성 파일을 통해 기능을 제어합니다.
참고: FakeNet-NG는 먼저 제공된 절대 경로 또는 상대 경로를 사용하여 지정된 구성 파일을 찾으려고 시도합니다(모든 구성을 저장하려는 경우). 지정된 구성 파일이 없으면 configs 디렉토리에서 찾습니다.
나머지 명령줄 옵션을 사용하면 표시되는 로깅 출력의 양을 제어하고 화면에 덤프하는 대신 파일로 리디렉션할 수 있습니다.
본격적으로 FakeNet-NG를 실행하기 전에 몇 가지 기본 개념을 살펴보겠습니다. 이 도구는 함께 작동하는 여러 모듈로 구성됩니다. 그러한 중요한 모듈 중 하나는 트래픽을 수신기 컬렉션으로 리디렉션하는 Diverter입니다. Diverter는 애플리케이션이 실제 서버 대신 FakeNet-NG와 상호 작용하도록 강제합니다. 수신기는 들어오는 연결을 처리하고 애플리케이션 트래픽(예: 맬웨어 서명)을 검사할 수 있게 해주는 개별 서비스입니다.
다음 명령을 실행하여 기본 설정으로 FakeNet-NG를 시작해 보겠습니다:
C:\tools\fakenet-ng>fakenet.exe
아래는 가로챈 DNS 요청 및 HTTP 연결 예시를 보여주는 주석이 달린 출력 로그입니다:
______ _ ________ _ _ ______ _______ _ _ _____
| ____/\ | |/ / ____| \ | | ____|__ __| | \ | |/ ____|
| |__ / \ | ' /| |__ | \| | |__ | |______| \| | | __
| __/ /\ \ | < | __| | . ` | __| | |______| . ` | | |_ |
| | / ____ \| . \| |____| |\ | |____ | | | |\ | |__| |
|_|/_/ \_\_|\_\______|_| \_|______| |_| |_| \_|\_____|
Version 3.5
_____________________________________________________________
Developed by FLARE Team
Copyright (C) 2016-2026 Mandiant, Inc. All rights reserved.
_____________________________________________________________
07/06/16 10:20:52 PM [ FakeNet] Loaded configuration file: configs/default.ini
/
default configuration file /