munin

 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

Online Hash Checker for Virustotal and Other Services
Florian Roth

Munin이란?

Munin은 다양한 온라인 소스에서 유용한 정보를 검색하는 온라인 해시 검사 유틸리티입니다.

현재 버전의 Munin은 다음 서비스를 조회합니다:

• Virustotal
• HybridAnalysis
• Any.Run
• URLhaus
• MISP
• CAPE
• Malshare
• Valhalla
• Hashlookup

스크린샷

기본 모드 - 파일에서 해시 읽기

사용법

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Online Hash Checker

optional arguments:
  -h, --help            show this help message and exit
  -f path               File to process (hash line by line OR csv with hash
                        in each line - auto-detects position and comment)
  --vh search-string    Query Valhalla for hashes by keyword, tags, YARA
                        rule name, Mitre ATT&CK software (e.g. S0154),
                        technique (e.g. T1023) or threat group (e.g. G0049)
  --vhrule search-string
                        Query Valhalla for hashes via rules by keyword,
                        tags, YARA rule name, Mitre ATT&CK software (e.g.
                        S0154), technique (e.g. T1023) or threat group
                        (e.g. G0049)
  -o output             Output file for results (CSV)
  --vtwaitquota         Do not continue if VT quota is exceeded but wait
                        for the next day
  --vtminav min-matches
                        Minimum number of AV matches to query hash info
                        from VT"
  --limit hash-limit    Exit after handling this much new hashes in batch
                        mode (cache ignored).
  --vhmaxage days       Maximum age of sample on Valhalla to process
  -c cache-db           Name of the cache database file (default: vt-hash-
                        db.json)
  -i ini-file           Name of the ini file that holds the API keys
  -s sample-folder      Folder with samples to process
  --comment             Posts a comment for the analysed hash which
                        contains the comment from the log line
  -p vt-comment-prefix  Virustotal comment prefix
  --download            Enables Sample Download from Hybrid Analysis.
                        SHA256 of sample needed.
  -d download_path      Output Path for Sample Download from Hybrid
                        Analysis. Folder must exist
  --nocache             Do not use cache database file
  --nocsv               Do not write a CSV with the results
  --verifycert          Verify SSL/TLS certificates
  --sort                Sort the input lines
  --web                 Run Munin as web service
  -w port               Web service port
  --cli                 Run Munin in command line interface mode
  --rescan              Trigger a rescan of each analyzed file
  --debug               Debug output

기능

• Virustotal에서 API(JSON 응답)를 통해 유용한 정보를 검색하고, permalink(HTML 파싱)를 통해 다른 정보를 검색합니다
• 여러 플랫폼에서 추가 정보를 검색합니다
• 텍스트 파일에 여러 번 나타날 수 있는 해시에 대해 서비스를 한 번만 조회하도록 기록(캐시)을 유지합니다
• 캐시된 객체는 JSON으로 저장됩니다
• 발견 사항을 CSV 파일로 생성하여 후처리 및 보고를 용이하게 합니다
• 이전 CSV가 있으면 결과를 추가합니다

표시 항목

• 해시 및 설명(설명은 해시가 추출된 줄의 나머지 부분)
• 사용자 정의 목록에 기반한 AV 벤더 매칭
• 실제 사용된 파일 이름
• 설명, 원본 파일 이름, 저작권 문구와 같은 PE 정보
• 서명된 PE 실행 파일의 서명자
• Virustotal 비율 기반 결과
• 첫 번째 및 마지막 제출
• 특정 지표에 대한 태그: Harmless, Signed, Expired, Revoked, MSSoftware

추가 검사

• Malshare.com에 샘플 업로드 조회
• Hybrid-Analysis.com에서 보고서 조회
• 여러 MISP 인스턴스에서 사용 가능한 이벤트 조회
• Any.run 샌드박스에서 보고서 조회
• CAPE 샌드박스에서 보고서 조회
• URLhaus에서 보고서 조회
• Malshare에서 사용 가능한 샘플 조회
• Valhalla에서 YARA 규칙 매칭 조회
• 현재 배치 내 Imphash 중복 확인 - 가져오기 테이블 해시의 중복을 발견할 수 있습니다
• PE 서명 중복 확인

작동 모드

1. 기본 - 해시가 포함된 입력 파일(-f) 또는 샘플 디렉터리(-s)를 제공
2. 조회 - Valhalla에서 키워드, 태그, ATT&CK 기술(예: T1023), ATT&CK 위협 그룹(예: G0049) 또는 규칙 이름으로 해시 검색(-q)
3. 명령줄 인터페이스 - --cli 매개변수 사용
4. 웹 서비스 모드 - --web 매개변수 사용

시작하기

1. 저장소 다운로드/클론
2. 필요한 패키지 설치: pip3 install -r requirements.txt (macOS에서는 --user 추가)
3. 사용자 정의 ini 파일에 각 서비스의 API 키 설정: cp munin.ini my.ini (도움말은 API 키 얻기 섹션 참조)
4. 데모 파일로 첫 실행: python munin.py -i my.ini -f munin-demo.txt

요구 사항

• Python 3.7 이상
• 인터넷 연결 (프록시 지원; SSL/TLS 차단 문제 가능)

일반적인 명령줄

Virustotal Retrohunt 결과를 처리하기 전에 줄을 정렬하여 일치하는 시그니처가 블록 단위로 확인되도록 합니다

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

샘플이 포함된 디렉터리를 처리하고 해시를 온라인에서 확인합니다

python3 munin.py -i my.ini -s ~/malware/case34

명령줄 인터페이스 모드 사용 (v0.14 신규)

python3 munin.py -i my.ini

API 키 얻기

Virustotal

1. 계정 생성: https://www.virustotal.com/#/join-us
2. 프로필 > 내 API 키에서 공개 API 키 확인

MalShare

여기에서 등록: https://malshare.com/register.php

Malware Bazaar

여기에서 등록: https://bazaar.abuse.ch/. 그런 다음 계정 개요에서 API 키를 찾을 수 있습니다.

Hybrid Analysis

1. 계정 생성: https://www.hybrid-analysis.com/signup
2. 로그인 후 프로필 > API 키 확인

MISP

1. MISP에 로그인
2. 프로필로 이동 "내 프로필"
3. Authkey 값을 API 키로 사용
4. .ini 파일은 MISP 인스턴스 목록과 각 API 키 목록을 모두 사용합니다

Valhalla

현재 고객 또는 초청 연구원 전용
https://valhalla.nextron-systems.com/

Hashlookup

Hashlookup CIRCL의 인스턴스는 무료로 제공되며 최선의 노력을 기준으로 제공됩니다.

명령줄 인터페이스 모드

--cli로 munin을 시작하고 지시를 따릅니다.

예:

python3 munin.py -i my.ini --cli

해시 값이 포함된 내용을 붙여넣고 CTRL+D를 눌러 입력을 완료합니다. 마지막 줄은 끝에 줄 바꿈이 필요합니다.

기본적으로 파일 이름에 현재 날짜가 포함된 CSV 파일이 생성됩니다.

웹 서비스 모드

--web으로 munin을 시작하고 선택적으로 포트 -w port를 지정합니다.

예:

python3 munin.py -i my.ini --web -w 8080

웹 서비스는 다음 URL 구성표에 문자열을 기다립니다.

http://server:port/<string>

문자열은 줄 바꿈이 없는 임의의 문자열일 수 있습니다. 예:

Emotet:1585ad28f7d1e0ca696e6c6c2f1d008a
ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa;IOC1
dc9b5e8aa6ec86db8af0a7aa897ca61db3e5f3d2e0942e319074db1aaccfdc83