🦆 Malduck

Instalação ⚙️ | Documentação 📚

---

Malduck é o seu companheiro pato nas jornadas de análise de malware. É baseado principalmente no projeto Roach, que deriva muitos conceitos da biblioteca mlib criada por Maciej Kotowicz. O propósito do fork foi tornar o Roach independente do projeto Cuckoo Sandbox, mas ainda suportando seu formato interno procmem.

Malduck fornece muitas melhorias resultantes do código-base do CERT.pl, tornando scripts escritos para fins de análise de malware muito mais curtos e poderosos.

Funcionalidades

• Criptografia (AES, Blowfish, Camellia, ChaCha20, Serpent e muitos outros)
• Algoritmos de compressão (aPLib, gzip, LZNT1 (RtlDecompressBuffer))
• Objetos de modelo de memória (trabalhe em dumps de memória, PE/ELF, arquivos brutos e dumps do IDA usando o mesmo código)
• Motor de extração (framework de extração modular para extração de configurações de arquivos/dumps)
• Tipos de inteiros fixos (como Uint64) e utilitários de bits
• Operações com strings (chunks, padding, empacotamento/desempacotamento etc.)
• Algoritmos de hashing (CRC32, MD5, SHA1, SHA256)

Exemplos de uso

AES

from malduck import aes

key = b'A'*16
iv = b'B'*16
plaintext = b'data'*16
ciphertext = aes.cbc.encrypt(key, iv, plaintext)

Serpent

from malduck import serpent

key = b'a'*16
iv = b'b'*16
plaintext = b'data'*16
ciphertext = serpent.cbc.encrypt(key, plaintext, iv)

Descompressão APLib

from malduck import aplib

# Headerless compressed buffer
aplib(b'T\x00he quick\xecb\x0erown\xcef\xaex\x80jumps\xed\xe4veur`t?lazy\xead\xfeg\xc0\x00')

Tipos de inteiros fixos

from malduck import DWORD

def sdbm_hash(name: bytes) -> int:
    hh = 0
    for c in name:
        # operations on the DWORD type produce a dword, so a result
        # is also a DWORD.
        hh = DWORD(c) + (hh << 6) + (hh << 16) - hh
    return int(hh)

Motor de extração - exemplo de módulo

from malduck import Extractor

class Citadel(Extractor):
    family = "citadel"
    yara_rules = ("citadel",)
    overrides = ("zeus",)

    @Extractor.string("briankerbs")
    def citadel_found(self, p, addr, match):
        log.info('[+] `Coded by Brian Krebs` str @ %X' % addr)
        return True

    @Extractor.string
    def cit_login(self, p, addr, match):
        log.info('[+] Found login_key xor @ %X' % addr)
        hit = p.uint32v(addr + 4)
        print(hex(hit))
        if p.is_addr(hit):
            return {'login_key': p.asciiz(hit)}

        hit = p.uint32v(addr + 5)
        print(hex(hit))
        if p.is_addr(hit):
            return {'login_key': p.asciiz(hit)}

Objetos de modelo de memória

from malduck import procmempe

with procmempe.from_file("notepad.exe", image=True) as p:
    resource_data = p.pe.resource("NPENCODINGDIALOG")

Como começar

Instale executando

pip install malduck

Mais documentação pode ser encontrada em readthedocs.