0x48piraj/incarceroIncarcero é uma ferramenta que cria Máquinas Virtuais (VMs) pré-configuradas com ferramentas de análise de malware e configurações de segurança adaptadas para análise de malware sem qualquer interação do usuário.
A análise de malware é como desarmar bombas. O objetivo é desmontar e entender um programa que foi criado para causar dano, o que muitas vezes é ofuscado (ou seja, empacotado) para dificultar a análise.
Incarcero é uma ferramenta que cria Máquinas Virtuais (VMs) pré-configuradas com ferramentas de análise de malware e configurações de segurança adaptadas para análise de malware sem qualquer interação do usuário.
Além disso, este repositório também inclui provavelmente a maior coleção de código-fonte de malware, bem como um módulo que permite baixar amostras de malware de bases de dados online populares.
Nota: Binários com nomes genéricos, como valor MD5 ou smbXXX.tmp, não foram detectados como malware pelo VirusTotal no momento do upload, mas isso não significa que não sejam uma amostra de malware. Sinta-se à vontade para configurar, analisar e fazer engenharia reversa em qualquer uma das amostras deste repositório; se você realmente o fizer, deixe-me saber os resultados da sua investigação.
dnf install ruby-devel gcc-c++ zlib-devel
vagrant plugin install winrm winrm-fs
apt install vagrant git python3-pip
apt install git python3-pip
pacman -Sy vagrant packer python-pip git
sudo pip3 install git+https://github.com/0x48piraj/incarcero.git#egg=incarcero
NOTA: A partir do Windows 10, o Hyper-V está sempre em execução abaixo do sistema
operacional. Como o VT-X precisa ser operado exclusivamente por apenas um hipervisor, isso faz com que o VirtualBox (e o
incarcero) falhe. Para desabilitar o Hyper-V e permitir que o
VirtualBox execute, execute o seguinte comando em um prompt de comando
administrativo e reinicie: bcdedit /set hypervisorlaunchtype off. Desde a versão 6 do Virtualbox
ele suporta o uso do Hyper-V como núcleo de execução de fallback (changelog)
Os passos a seguir pressupõem que você tenha o https://chocolatey.org/[Chocolatey] instalado. Caso contrário, siga o procedimento de instalação manual.
Instale as dependências:
choco install python vagrant packer git virtualbox
Atualize o console:
refreshenv
Instale o incarcero:
pip3 install setuptools
pip3 install -U git+https://github.com/0x48piraj/incarcero.git#egg=incarcero
C:\Windows\System32\pip3 install setuptools
pip3 install -U git+https://github.com/0x48piraj/incarcero.git#egg=incarcero
Execute este comando após a instalação normal:
vagrant plugin install vagrant-aws
NOTA: O recurso AWS foi testado apenas no Linux por enquanto, e o EC2 não suporta a versão desktop de 32 bits do Windows 10.
Isso cria a sua box base que é importada no Vagrant. Depois, você pode reutilizar a mesma box várias vezes por análise de amostra.
Execute:
incarcero build <template>
Você também pode listar todos os templates suportados com:
incarcero list
Isso criará uma box do Vagrant pronta para investigação de malware que você poderá incluir em um Vagrantfile posteriormente.
Por exemplo:
incarcero build win10_x64_analyst
A seção de configuração contém mais informações sobre o que pode ser configurado com o incarcero.
incarcero spin win10_x64_analyst <nome>
Isso criará um Vagrantfile preparado para uso em análise de malware. Mova-o
para um diretório de sua escolha e execute:
vagrant up
Por padrão, o diretório local será compartilhado na VM na Área de Trabalho. Isso
pode ser alterado comentando a parte relevante do Vagrantfile.
Por exemplo:
incarcero spin win7_x86_analyst 20160519.cryptolocker.xyz
O incarcero pode enviar e interagir com uma VM nos serviços da Amazon Web. Para fazer isso, siga estes passos:
. O incarcero precisará de um bucket S3 na AWS para enviar a VM antes de convertê-la em uma AMI (Amazon Machine Image). Se você não tiver um, crie um agora.
. Sua instância também requer um security group com pelo menos uma regra permitindo conexões de entrada para WinRM (Tipo: WinRM-HTTP, Protocolo: TCP, Faixa de Portas: 5985, Origem: IP público do host).
. Em seguida, você precisa de uma função de serviço vmimport configurada.
Siga a seção chamada VM Import Service Role de este guia.
Esses passos devem ser executados com uma conta que tenha permissões iam:CreateRole e iam:PutRolePolicy.
. Se a configuração padrão for usada, altere o hipervisor para aws e preencha as opções obrigatórias relacionadas. Caso contrário, certifique-se de adicionar todas as opções sobre AWS à sua configuração personalizada.
. Finalmente, você pode seguir os mesmos passos descritos nas seções Criação da box e Instâncias por análise para iniciar sua instância!
NOTA: A importação da AMI pode levar muito tempo (cerca de uma hora), no entanto, você pode verificar o status da tarefa fazendo isto. No momento, apenas uma AMI pode ser criada por template.
Instale o awscli usando pip:
pip install awscli
Configure o awscli com:
aws configure
Então execute:
aws ec2 describe-import-image-tasks
Para conectar a uma instância na nuvem usando RDP, execute este comando no mesmo local do seu Vagrantfile:
vagrant rdp -- /cert-ignore
Para que isso funcione, a instância exigirá um security group permitindo conexões de entrada RDP (Tipo: RDP, Protocolo: TCP, Faixa de Portas: 3389, Origem: IP público do host).
NOTA: Você pode ignorar com segurança o seguinte erro porque o rsync ainda não foi implementado: No host IP was given to the Vagrant core NFS helper. This is an internal error that should be reported as a bug.
Para parar uma instância na nuvem, execute este comando no mesmo local do seu Vagrantfile:
vagrant halt
A configuração do incarcero está localizada em um diretório que segue as convenções usuais do sistema operacional: