IRFuzz - Yara 규칙을 사용하는 간단한 스캐너

IRFuzz는 문서 아카이브나 모든 파일을 대상으로 Yara 규칙을 사용하는 간단한 스캐너입니다.

설치

1. 사전 요구 사항

Linux 또는 OS X

• Yara: 최신 릴리스 소스 코드를 사용하여 컴파일 및 설치하거나 pip install yara-python을 통해 설치하세요.
• Yara Rules - 여기에서 yara 규칙을 다운로드하거나 사용자 정의 규칙 세트를 가져올 수 있습니다.
• Python 종속성

종속성은 pipenv로 관리됩니다. 시작하려면 다음 명령으로 종속성을 설치하고 가상 환경을 활성화하세요:

$ pipenv install

$ pipenv shell

IRFuzz 실행 - Watchd

IRFuzz 실행

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

지원 기능

• inotify로 새 파일 스캔
• inotify가 지원되지 않으면 폴링
• 사용자 정의 확장자 지원
• 삭제 모드: 일치하는 파일 삭제
• 재귀 디렉터리 스캔
• 일치하는 Yara 함수와 yarastring을 ctime과 함께 나열
• Filebeat용 CSV 결과

사용자 정의 확장자

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

Yara 규칙 일치 알림

https://irfuzz.com/tokens에서 토큰 생성

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

웹사이트에서 Telegram 또는 이메일로 알림을 구성하세요.

일치하는 파일 삭제

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

폴링 (inotify 지원되지 않음)

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

--poll 옵션을 추가하면 데이터 디렉터리 변경 감지에 폴링 메커니즘을 강제로 사용합니다. 폴링은 OS의 기본 변경 감지 메커니즘보다 느리지만 SMB 마운트와 같은 특정 파일 시스템에서는 필요합니다.

확장자가 지정되지 않은 경우 기본 확장자

Microsoft Office Word 지원 파일 형식

.doc .docm .docx .docx .dot .dotm .dotx .odt

Microsoft Office Excel 지원 파일 형식

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

Microsoft Office PowerPoint 지원 파일 형식

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

IRFuzz는 zip 파일 분석을 위해 zipdump.py를 사용합니다.