FastFinder

Uma ferramenta leve de resposta a incidentes para caça a ameaças e triagem forense

✨ Visão Geral

O FastFinder é uma ferramenta de resposta a incidentes poderosa e leve, projetada para profissionais de cibersegurança que realizam caça a ameaças, perícia ao vivo e triagem de endpoints. Construída para plataformas Windows e Linux, destaca-se na descoberta rápida de arquivos suspeitos usando múltiplos critérios de deteção.

🔍 Principais Capacidades de Deteção

• Deteção baseada em caminho: correspondência de padrões de caminho e nome de ficheiro
• Verificação de hash: validação de checksum MD5, SHA1 e SHA256
• Análise de conteúdo: correspondência simples de strings e avaliação complexa de regras YARA
• Suporte multiplataforma: compatibilidade nativa com Windows e Linux

🛡️ Testado em Batalha

• ✅ Pronto para produção: implantado com sucesso em cenários reais de resposta a incidentes
• ✅ Validado pela indústria: usado por vários CERTs, CSIRTs e equipas SOC
• ✅ Exemplos abrangentes: inclui amostras reais de malware e cenários de verificação de vulnerabilidades

📸 Capturas de Ecrã

Interface de Utilizador Básica

Seleção de Configuração

Resultados da Verificação e Correspondências

🚀 Instalação

Início Rápido (Recomendado)

📥 Descarregar a Última Versão

Compilar a Partir do Código Fonte

⚠️ Nota: A compilação requer dependências CGO e YARA. Consulte os guias específicos da plataforma:

• 🪟 Windows: Guia de Compilação
• 🐧 Linux: Guia de Compilação

Instalação Docker (Sem Dependências Necessárias!)

A maneira mais fácil de compilar o FastFinder sem instalar dependências:

# Compilar binários para Linux e Windows
cd docker
make build-binaries

# Os binários estarão em ./bin/
# - fastfinder-linux-amd64
# - fastfinder-windows-amd64.exe

Contentor Docker de Execução

Execute o FastFinder dentro de um contentor Docker privilegiado para verificar volumes ou sistemas de ficheiros montados:

# Compilar a imagem de execução (inclui FastFinder + YARA + editores)
.\docker-helper.ps1 build-runtime

# Executar verificação com diretório de configuração
.\docker-helper.ps1 run-runtime -ConfigPath "C:\caminho\para\pasta_config" -ScanPath "C:\dados\para\verificar"

# Modo shell interativo (sem verificação, apenas acesso à shell)
.\docker-helper.ps1 run-runtime -Interactive

Requisitos

• Execução: Sem dependências necessárias para binários pré-compilados
• Compilação: Go 1.24+, CGO, libyara
• Privilégios: Recomendados direitos de administrador para acesso total ao sistema

📖 Utilização

Interface de Linha de Comandos

fastfinder [OPÇÕES]

Opções Disponíveis

Níveis de Verbosidade

• Nível 1: Apenas alertas
• Nível 2: Alertas e avisos
• Nível 3: Alertas e erros (padrão)
• Nível 4: Alertas, erros e operações de E/S
• Nível 5: Verbosidade total (para depuração ou registo muito avançado)

Exemplos Rápidos

# Verificação básica com ficheiro de configuração
./fastfinder -c config.yaml

# Modo de monitorização contínua
./fastfinder -c config.yaml -t

# Criar executável autónomo (apenas arquitetura x64)
./fastfinder -c config.yaml -b standalone_scanner.exe

💡 Dica: O FastFinder pode ser executado com privilégios de utilizador padrão, mas direitos administrativos fornecem acesso a todos os ficheiros do sistema.

Verificar e exportar correspondências de ficheiros conforme suas necessidades

Exemplos de configuração estão disponíveis aqui. Aqui está um exemplo de configuração completa em branco. Não é necessário implementar todos os atributos se não estiver a utilizar tudo.

input:
    path: [] # corresponder caminho E/OU nome do ficheiro com base em string simples 
    content:
        grep: [] # corresponder valor literal de string dentro do conteúdo do ficheiro
        yara: [] # usar regra yara e especificar caminho(s) de regras para pesquisa de padrões mais complexos (curingas / regex / condições) 
        checksum: [] # analisar para md5/sha1/sha256 no conteúdo do ficheiro 
options:
    contentMatchDependsOnPathMatch: true # se verdadeiro, os caminhos são um pré-filtro para pesquisas grep (string) apenas. YARA e Checksums são sempre avaliados.
    findInHardDrives: true	# enumerar conteúdo do disco rígido
    findInRemovableDrives: true # enumerar conteúdo de unidade removível 
    findInNetworkDrives: true # enumerar conteúdo de unidade de rede
    findInCDRomDrives: true # enumerar CD-ROM físico e iso / vhd montados...
    findInMemory: true # verificar resultados na memória de processos
output:
    copyMatchingFiles: true # criar uma cópia de cada ficheiro correspondente
    base64Files: true # codificar em base64 o conteúdo correspondido antes de copiar
    filesCopyPath: '' # valor vazio irá copiar os ficheiros correspondidos na pasta do fastfinder.exe
advancedparameters:
    yaraRC4Key: ''    # as regras yara podem ser (des)criptografadas usando a chave RC4 especificada
    maxScanFilesize: 2048 # ignorar ficheiros até maxScanFileSize Mb (padrão: 2048)               
    cleanMemoryIfFileGreaterThanSize: 512 # limpar memória interna do fastfinder após verificação de ficheiros pesados (padrão: 512Mb)
eventforwarding:
  enabled: true
  buffer_size: 5
  flush_time_seconds: 10
  file: # guardar atividade da aplicação em ficheiros jsonl
    enabled: true
    directory_path: "./event_logs"
    rotate_minutes: 1    # Rodar a cada minuto para teste
    max_file_size_mb: 1  # Rodar a 1MB para teste
    retain_files: 5      # Manter 5 ficheiros antigos
  http: # encaminhar atividade da aplicação com dados JSON via HTTP POST
    enabled: false
    url: "https://your-forwarder-url.com/api/events"
    ssl_verify: false
    timeout_seconds: 10
    headers:
      Authorization: "Bearer YOUR_API_KEY"
      MY-CUSTOM-HEADER: "My-Header-Value"
    retry_count: 3
  filters:
    event_types:
      - "error"
      - "warning"
      - "alert" 
      - "info"

Pesquisar em todo o lado ou em caminhos especificados:

• usar '?' nos caminhos para curinga de caractere simples (ex.: powershe??.exe)
• usar '\*' nos caminhos para curinga de múltiplos caracteres (ex.: \*.exe)
• expressões regulares também estão disponíveis, basta colocar os caminhos entre barras (ex.: /[0-9]{8}\.exe/)
• variáveis de ambiente também podem ser usadas (ex.: %TEMP%\myfile.exe)

Resolução de Caminhos de Regras YARA

Caminhos relativos na configuração YAML são resolvidos em relação à localização do ficheiro de configuração:

input:
  content:
    yara:
      - "./example_rule_linux.yar"           # Procura na mesma pasta que config.yaml
      - "./subfolder/custom_rules.yar"       # Procura na subpasta relativa à configuração
      - "/absolute/path/to/rule.yar"         # Caminhos absolutos funcionam como estão
      - "https://example.com/rules.yar"      # URLs também são suportados

Exemplo de estrutura de diretórios:

project/
├── config.yaml
├── example_rule_linux.yar          # ✅ Encontrado por "./example_rule_linux.yar"
└── rules/
    └── custom.yar                  # ✅ Encontrado por "./rules/custom.yar"

Notas importantes

• caminhos de entrada são sempre INSENSÍVEIS a maiúsculas/minúsculas
• pesquisa de conteúdo em strings (grep) é sempre SENSÍVEL a maiúsculas/minúsculas
• barras invertidas TÊM de ser escapadas (exceto com expressões regulares)
• as regras YARA devem existir - regras em falta farão o FastFinder sair com um erro Para mais informações, veja os exemplos

🤝 Contribuir

Aceitamos contribuições! Por favor, veja as nossas diretrizes de contribuição:

1. Fork o repositório
2. Crie um branch de funcionalidade (git checkout -b feature/carateristica-incrivel)
3. Faça commit das suas alterações (git commit -m 'Adicionar caraterística incrível')
4. Faça push para o branch (git push origin feature/carateristica-incrivel)
5. Abra um Pull Request

Configuração de Desenvolvimento

# Clonar o repositório
git clone https://github.com/codeyourweb/fastfinder.git
cd fastfinder

# Instalar dependências (ver guias de compilação)
# Compilar a partir do código fonte
go build -tags yara_static,gio -a -ldflags '-s -w' .

# Executar testes
go test ./...

📜 Licença

Este projeto está licenciado sob a Licença AGPL - consulte o ficheiro LICENSE para mais detalhes.

🚀 Suporte

• 🐛 Reportar Problemas: GitHub Issues
• 💬 Discussões: GitHub Discussions
• 📧 Segurança: Reporte vulnerabilidades de segurança de forma privada

📊 Estatísticas do Projeto

🙏 Agradecimentos

• Hilko Bengen (@hillu) pela sua maravilhosa implementação YARA em Go e também pela sua preciosa ajuda na depuração de problemas CGO
• Marc Ochsenmeier pela sua preciosa ajuda, feedbacks e também por ter falado sobre o meu projeto
• Vitali Kremez ✝ por me inspirar em muitos aspetos que me levaram a construir o fastfinder
• m0n4 (https://github.com/m0n4) por me desafiar tecnicamente regularmente e contribuir muito mais para o nascimento deste projeto do que ele alguma vez poderia imaginar.

Feito com ❤️ pela comunidade de cibersegurança
Criado por Jean-Pierre GARNIER (@codeyourweb) • 2021-2026