munin

 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

Online Hash Checker for Virustotal and Other Services
Florian Roth

O que é Munin?

Munin é uma ferramenta de verificação de hashes online que recupera informações valiosas de várias fontes online.

A versão atual do Munin consulta os seguintes serviços:

• Virustotal
• HybridAnalysis
• Any.Run
• URLhaus
• MISP
• CAPE
• Malshare
• Valhalla
• Hashlookup

Captura de Tela

Modo Padrão - Ler Hashes de Arquivo

Uso

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Online Hash Checker

optional arguments:
  -h, --help            show this help message and exit
  -f path               File to process (hash line by line OR csv with hash
                        in each line - auto-detects position and comment)
  --vh search-string    Query Valhalla for hashes by keyword, tags, YARA
                        rule name, Mitre ATT&CK software (e.g. S0154),
                        technique (e.g. T1023) or threat group (e.g. G0049)
  --vhrule search-string
                        Query Valhalla for hashes via rules by keyword,
                        tags, YARA rule name, Mitre ATT&CK software (e.g.
                        S0154), technique (e.g. T1023) or threat group
                        (e.g. G0049)
  -o output             Output file for results (CSV)
  --vtwaitquota         Do not continue if VT quota is exceeded but wait
                        for the next day
  --vtminav min-matches
                        Minimum number of AV matches to query hash info
                        from VT"
  --limit hash-limit    Exit after handling this much new hashes in batch
                        mode (cache ignored).
  --vhmaxage days       Maximum age of sample on Valhalla to process
  -c cache-db           Name of the cache database file (default: vt-hash-
                        db.json)
  -i ini-file           Name of the ini file that holds the API keys
  -s sample-folder      Folder with samples to process
  --comment             Posts a comment for the analysed hash which
                        contains the comment from the log line
  -p vt-comment-prefix  Virustotal comment prefix
  --download            Enables Sample Download from Hybrid Analysis.
                        SHA256 of sample needed.
  -d download_path      Output Path for Sample Download from Hybrid
                        Analysis. Folder must exist
  --nocache             Do not use cache database file
  --nocsv               Do not write a CSV with the results
  --verifycert          Verify SSL/TLS certificates
  --sort                Sort the input lines
  --web                 Run Munin as web service
  -w port               Web service port
  --cli                 Run Munin in command line interface mode
  --rescan              Trigger a rescan of each analyzed file
  --debug               Debug output

Funcionalidades

• Recupera informações valiosas do Virustotal via API (resposta JSON) e outras informações via permalink (análise HTML)
• Recupera informações extras de uma lista de plataformas
• Mantém um histórico (cache) para consultar os serviços apenas uma vez para um hash que pode aparecer várias vezes no arquivo de texto
• Objetos em cache são armazenados em JSON
• Cria arquivo CSV com os resultados para fácil pós-processamento e relatórios
• Adiciona resultados a um CSV anterior se disponível

Exibições

• Hash e comentário (comentário é o restante da linha da qual o hash foi extraído)
• Correspondências de fornecedores de antivírus com base em uma lista definida pelo usuário
• Nomes de arquivo usados na natureza
• Informações de PE como descrição, nome original do arquivo e declaração de direitos autorais
• Assinante de um executável portátil assinado
• Resultado baseado na proporção do Virustotal
• Primeira e última submissão
• Tags para certos indicadores: Harmless, Signed, Expired, Revoked, MSSoftware

Verificações Extras

• Consulta Malshare.com por uploads de amostras
• Consulta Hybrid-Analysis.com por relatórios
• Consulta várias instâncias MISP por eventos disponíveis
• Consulta o sandbox Any.run por relatórios
• Consulta o sandbox CAPE por relatórios
• Consulta URLhaus por relatórios
• Consulta Malshare por amostras disponíveis
• Consulta Valhalla por correspondências de regras YARA
• Duplicatas de Imphash no lote atual > permite identificar sobreposições em hashes de tabela de importação
• Verificações de duplicatas de assinatura PE

Modos de Operação

1. Padrão - fornecendo um arquivo de entrada (-f) com hashes ou diretório de amostras (-s)
2. Consulta - para pesquisar hashes do Valhalla por palavra-chave, tags, técnica ATT&CK (ex: T1023), grupo de ameaça ATT&CK (ex: G0049) ou nome de regra (-q)
3. Interface de Linha de Comando - usando o parâmetro --cli
4. Modo de Serviço Web - usando o parâmetro --web

Primeiros Passos

1. Baixe / clone o repositório
2. Instale os pacotes necessários: pip3 install -r requirements.txt (no macOS adicione --user)
3. Defina as chaves de API para os diferentes serviços em seu arquivo ini personalizado cp munin.ini my.ini (veja a seção Obter as Chaves de API para ajuda)
4. Use o arquivo de demonstração para uma primeira execução: python munin.py -i my.ini -f munin-demo.txt

Requisitos

• Python 3.7 ou superior
• Conexão com Internet (Suporte a Proxy; interceptação SSL/TLS pode ser um problema)

Linhas de Comando Típicas

Processar um resultado de Retrohunt do Virustotal e classificar as linhas antes da verificação para que as assinaturas correspondentes sejam verificadas em blocos

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

Processar um diretório com amostras e verificar seus hashes online

python3 munin.py -i my.ini -s ~/malware/case34

Usar o modo de interface de linha de comando (novo na v0.14)

python3 munin.py -i my.ini

Obter as Chaves de API

Virustotal

1. Crie uma conta aqui https://www.virustotal.com/#/join-us
2. Verifique Profile > My API key para sua chave de API pública

MalShare

Registre-se aqui https://malshare.com/register.php

Malware Bazaar

Registre-se aqui https://bazaar.abuse.ch/. Você pode então encontrar sua chave de API na sua Visão Geral da Conta.

Hybrid Analysis