IRFuzz - Scanner Simples com Regras Yara

IRFuzz é um scanner simples com regras yara para arquivos de documentos ou quaisquer arquivos.

Instalação

1. Pré-requisitos

Linux ou OS X

• Yara: apenas use o código fonte da versão mais recente, compile e instale (ou instale via pip install yara-python)
• Yara Rules - Você pode baixar regras yara daqui ou importar seu próprio conjunto de regras personalizado.
• Dependências Python

As dependências são gerenciadas com pipenv. Para começar, instale as dependências e ative o ambiente virtual com os seguintes comandos:

$ pipenv install

$ pipenv shell

Executando IRFuzz - Watchd

Executando IRFuzz

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

Funcionalidades Suportadas

• Escaneia novos arquivos com inotify
• Polling se inotify não for suportado
• Extensões personalizadas são suportadas
• Modo de exclusão deletará o arquivo correspondente
• Escaneamento recursivo de diretório
• Lista funções Yara correspondentes com yarastrings com ctime
• Resultados CSV para Filebeat

Extensões personalizadas

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

Alerta de regra yara correspondente

Gere um token em https://irfuzz.com/tokens

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

Configure alertas do site para Telegram ou seu e-mail.

Excluir arquivo correspondente

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

Polling (inotify não suportado)

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

Adiciona a opção --poll para forçar o uso do mecanismo de polling para detectar mudanças no diretório de dados. Polling é mais lento que o mecanismo subjacente no SO para detectar mudanças, mas é necessário com certos sistemas de arquivos como montagens SMB.

Extensões padrão se nenhuma extensão for mencionada.

Formatos de arquivo suportados pelo Microsoft Office Word

.doc .docm .docx .docx .dot .dotm .dotx .odt

Formatos de arquivo suportados pelo Microsoft Office Excel

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

Formatos de arquivo suportados pelo Microsoft Office PowerPoint

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

IRFuzz usa zipdump.py para análise de arquivos zip.