Escrevi um novo scanner YARA Open Source chamado LOKI RS (Rust). O LOKI (Python) está agora oficialmente obsoleto.

Nota Importante

Este projeto está agora em modo de manutenção inativa. Isso significa que, embora aceite pull requests para correções de bugs e problemas simples, atualmente não tenho tempo para adicionar novas funcionalidades ou expandir as existentes. Durante anos, meu foco foi desenvolver um scanner mais avançado, o THOR, que oferece uma série de melhorias em relação a este projeto. Uma versão gratuita, THOR Lite, está disponível; é mais rápida, mais estável e rigorosamente testada em nossos ambientes de CI — simplesmente uma solução melhor. Você pode encontrar uma comparação dos scanners open-source, gratuitos e comerciais aqui.

Também comecei a trabalhar em uma versão baseada em Rust do LOKI chamada LOKI 2. No entanto, não sei ao certo quando ela atingirá paridade de funcionalidades com a versão atual do LOKI. Além disso, criei um fluxograma para ajudá-lo a decidir qual scanner melhor atende às suas necessidades.

Loki - Scanner Simples de IOC e YARA

Scanner para Indicadores Simples de Comprometimento

A detecção é baseada em quatro métodos de detecção:

1. IOC de Nome de Arquivo
   Correspondência Regex no caminho/nome completo do arquivo

2. Verificação de Regra Yara
   Correspondência de assinatura Yara nos dados do arquivo e memória do processo

3. Verificação de Hash
   Compara hashes maliciosos conhecidos (MD5, SHA1, SHA256) com os arquivos escaneados
   
4. Verificação de Conexão de Retorno C2
   Compara endpoints de conexão de processos com IOCs de C2 (novo desde a versão v.10)
   

Verificações Adicionais:

1. Verificação de sistema de arquivos Regin (via --reginfs)
2. Verificação de anomalia de processo (baseada em [Sysforensics](http://goo.gl/P99QZQ))
3. Varredura SWF descomprimida (nova desde a versão v0.8)
4. Verificação de despejo SAM

O binário para Windows é compilado com PyInstaller e deve funcionar como aplicação x86 tanto em sistemas x86 quanto x64.

Como Executar o LOKI e Analisar os Relatórios

Executar

• Baixe a versão mais recente do LOKI na seção releases
• Extraia o pacote do programa
• Execute loki-upgrader.exe em um sistema com acesso à Internet para obter as assinaturas mais recentes
• Leve a pasta do programa para um sistema de destino que deve ser escaneado: mídia removível, compartilhamento de rede, pasta no sistema de destino
• Abra um prompt de comando "cmd.exe" como Administrador e execute-o a partir daí (você também pode executar o LOKI sem privilégios administrativos, mas algumas verificações serão desativadas e objetos relevantes em disco não estarão acessíveis)

Relatórios

• O relatório resultante mostrará uma linha de resultado VERDE, AMARELA ou VERMELHA.
• Analise os achados você mesmo:
  1. enviando amostras não confidenciais para Virustotal.com
  2. Pesquise na web pelo nome do arquivo
  3. Pesquise na web por palavras-chave do nome da regra (ex.: EQUATIONGroupMalware_1 > pesquisar por "Equation Group")
  4. Pesquise na web pelo hash MD5 da amostra
• Por favor, reporte falsos positivos através da seção "Issues", acessível pela barra lateral direita (mencione o indicador de falso positivo, como um hash e/ou nome de arquivo, e o nome da regra que acionou)

Requisitos

Nenhum requisito se você usar o EXE compilado.

Se você quiser compilar você mesmo:

• yara : Recomenda-se usar a versão mais recente dos pacotes compilados para Windows (x86) - Baixe aqui: https://github.com/VirusTotal/yara-python/releases
• colorama : para colorir
• psutil : verificações de processo
• pywin32 : conversões de caminho (PyInstaller issue; apenas Windows)

Uso