Casos de Uso

• Resposta a Incidentes: Varredura rápida de sistemas durante incidentes de segurança ativos para identificar presença de malware
• Perícia Digital: Análise de arquivos e sistemas suspeitos para coleta de evidências em investigações de segurança
• Fortificação de Sistemas: Realização de varreduras abrangentes para garantir a integridade do sistema antes da implantação
• Monitoramento Contínuo: Implementação de proteção contínua contra ameaças em evolução em sistemas críticos
• Pesquisa de Segurança: Auxílio na análise e pesquisa de malware com capacidades detalhadas de varredura

Especificações Técnicas

• Linguagem: Construído com Python 3.6+ para compatibilidade entre plataformas
• Banco de Dados: Utiliza bancos de dados NoSQL otimizados para armazenamento de inteligência de ameaças
• Requisitos do Sistema:
  • Mínimo: 2 GB de RAM, 500 MB de espaço em disco, processador single-core
  • Recomendado: 4 GB de RAM, 1 GB de espaço em disco, processador multi-core
• Suporte a Plataformas: Windows, macOS, Linux (Ubuntu, CentOS, Debian)
• Integração com API: API RESTful para integração com outras ferramentas de segurança
• Contêineres: Suporte a Docker para fácil implantação e escalabilidade

Arquitetura do Sistema

O Pegasus Malware Scan emprega uma arquitetura modular composta por vários componentes principais:

1. Mecanismo de Varredura: Componente principal responsável pela análise de arquivos usando vários métodos de detecção
2. Módulo de Inteligência de Ameaças: Mantém um banco de dados atualizado de ameaças conhecidas e indicadores de comprometimento
3. Subsistema de Análise Comportamental: Executa e monitora arquivos suspeitos em um ambiente isolado (sandbox)
4. Sistema de Relatórios e Alertas: Gera relatórios detalhados e envia notificações sobre ameaças detectadas
5. Console de Gerenciamento: Fornece uma interface unificada para configuração e monitoramento
6. Camada de Integração: Facilita a comunicação com sistemas externos e ferramentas de segurança

O design modular permite atualizações fáceis e extensões de funcionalidade sem exigir alterações no sistema principal.

Cenários de Implantação

O Pegasus Malware Scan oferece suporte a vários cenários de implantação para atender diferentes necessidades organizacionais:

• Implantação Autônoma: Instalação diretamente em endpoints individuais para proteção independente
• Modelo Cliente-Servidor: Servidor de gerenciamento central com agentes leves implantados nos endpoints
• Implantação Baseada em Nuvem: Modelo SaaS com gerenciamento e análise hospedados na nuvem
• Implantação Híbrida: Combinação de componentes locais e em nuvem para desempenho ideal
• Redes Isoladas (Air-Gapped): Opções especiais de implantação para ambientes de alta segurança isolados

Conformidade e Padrões de Segurança

O Pegasus Malware Scan é projetado para ajudar organizações a atender requisitos de conformidade de segurança em várias estruturas:

• Suporte à conformidade com GDPR, HIPAA, PCI-DSS e NIST Cybersecurity Framework
• Segue as melhores práticas de segurança da OWASP para desenvolvimento seguro
• Implementa práticas adequadas de tratamento de dados para informações sensíveis
• Fornece trilhas de auditoria adequadas para relatórios de conformidade
• Atualizado regularmente para abordar padrões de segurança emergentes

Notas do Projeto Original

• Scanner de malware muito básico por comparação de hash
• Às vezes, isso pode ser necessário durante uma resposta a incidentes.
• Se você encontrar arquivos novos ou suspeitos durante a resposta, deseja verificar onde esses arquivos existem nos sistemas. Então, você pode precisar de uma ferramenta como esta. Esta é uma versão de demonstração, não completa. Você precisa alterar e modificar o código e torná-lo seu.
• Avise-me se houver alterações necessárias ou recursos adicionais.
• E pressione as "estrelas" se ajudar. Assim, continuará a ser aprimorado.

Autor

• Letda Kes dr. Muhammad Sobri Maulana, S.Kom, CEH, OSCP, OSCE
• GitHub: github.com/sobri3195
• Contato: [email protected]

Doação

Apoie este projeto: https://lynk.id/muhsobrimaulana

Funcionalidades

Capacidades Principais de Varredura

• Inspeção de arquivos baseada em hash (hashes de malware gratuitos): Utiliza bancos de dados de hashes de malware gratuitos para identificar arquivos maliciosos conhecidos comparando seus hashes criptográficos, sem depender da detecção baseada em assinatura.
• Varredura incluindo subdiretórios: Percorre e varre automaticamente todos os subdiretórios dentro do caminho de destino para cobertura abrangente dos sistemas de arquivos.
• Tarefas Multithread: Emprega processamento paralelo para escanear vários arquivos simultaneamente, reduzindo significativamente o tempo total de varredura em sistemas com múltiplos núcleos.
• Definir extensões de arquivo para escanear: Permite que os usuários personalizem quais tipos de arquivo são escaneados, concentrando recursos em formatos de arquivo potencialmente executáveis ou perigosos.
• Definir diretórios para não escanear: Permite a exclusão de diretórios específicos para evitar varredura em áreas sensíveis ou melhorar o desempenho.

Integração e Relatórios

• Fácil anexação de scan_logs ao SIEM (ex.: Splunk): Gera logs em um formato que pode ser diretamente ingerido por sistemas de Gerenciamento de Eventos e Informações de Segurança para monitoramento centralizado.
• Exportar resultados de varredura em múltiplos formatos (CSV, JSON, XML): Suporta vários formatos de exportação para integração com diferentes ferramentas de análise e sistemas de relatórios.
• Notificações por e-mail para ameaças detectadas: Envia automaticamente alertas quando arquivos maliciosos são descobertos, garantindo consciência imediata de incidentes de segurança.
• Painel de análise de ameaças e relatórios detalhados: Fornece visualizações e métricas abrangentes sobre resultados de varredura, distribuições de ameaças e status de segurança do sistema.

Funcionalidades Avançadas de Detecção

• Capacidade de varredura em tempo real para monitoramento ativo: Monitora continuamente as atividades do sistema de arquivos para detectar ameaças à medida que aparecem, sem esperar por varreduras agendadas.
• Integração com plataformas de inteligência de ameaças baseadas em nuvem: Conecta-se a serviços externos de inteligência de ameaças para melhorar as capacidades de detecção com informações atualizadas.
• Análise comportamental de arquivos suspeitos: Examina como os arquivos se comportam quando executados em um ambiente controlado para identificar padrões maliciosos que a análise estática pode não detectar.
• Execução em sandbox para arquivos desconhecidos: Executa arquivos suspeitos em um ambiente isolado para observar com segurança seu comportamento e determinar se são maliciosos.
• Varredura de memória para detecção de malware sem arquivo (fileless): Identifica malware que opera exclusivamente na memória sem gravar arquivos no disco, detectando ameaças avançadas que evadem a varredura tradicional.
• Varredura de registro para sistemas Windows: Examina o registro do Windows em busca de entradas suspeitas que podem indicar mecanismos de persistência de malware.
• Identificação e classificação de famílias de malware: Categoriza o malware detectado em famílias para fornecer contexto sobre a ameaça, suas capacidades e impactos potenciais.

Funcionalidades de Gerenciamento

• Fácil manipulação e código/estrutura de função modificável: Projetado com arquitetura modular permitindo fácil personalização e extensão da funcionalidade.
• Varredura agendada com frequência personalizável: Permite que os usuários configurem varreduras recorrentes em intervalos preferidos (a cada hora, diariamente, semanalmente) para manter a segurança do sistema.
• Varredura remota de dispositivos em rede: Estende as capacidades de varredura pela rede para proteger todos os dispositivos conectados a partir de um ponto de gerenciamento central.
• Varredura e monitoramento de dispositivos USB: Detecta e escaneia automaticamente dispositivos USB quando conectados para evitar a introdução de malware através de mídia removível.
• Capacidades de quarentena do sistema para arquivos infectados: Isola com segurança o malware detectado para evitar execução e propagação, permitindo análise posterior.
• Políticas de varredura personalizáveis e ações de resposta a ameaças: Permite que administradores definam como o sistema responde a diferentes tipos de ameaças, desde alertas até remediação automática.

v1.0.5

• https://github.com/sobri3195/pegasus-malware-scan/blob/main/CHANGES

Pré-visualização

Registro de resultado da varredura

• datetime, scan_id, os, hostname, ip, file.........hash,