nodejs-tracer

Простой трассировщик для Node.js, который логирует вызовы основных модулей, может подделывать определённые вызовы для обхода анти-анализа, сохранять файлы, записанные приложением, и многое другое. Полезен для анализа сильно обфусцированного вредоносного ПО на Node.js.

Использование

node -r .\tracer.js main.js

Пример трассировки с включённым DISPLAY_STACK:

Конфигурация

Настройте константы в скрипте для конфигурации следующих параметров:

const DISPLAY_STACK = true // Display stack trace for each call
const SAVE_FILE_WRITES = true // Save files written by the application to the current working directory
const LOG_HTTP_REQUESTS = true // Log HTTP requests to requests.txt
const SKIP_SLEEPS = false // Skip calls to sleep and timers
const TRACE_ERRORS = false // Log errors, caught and uncaught
const IGNORED_APIS = [] // List of APIs that won't be hooked (e.g. ['path.normalize'])

В зависимости от вредоносного ПО вам может понадобиться настроить перехваты anti-anti-VM в верхней части скрипта.

В настоящее время реализованы следующие anti-anti-VM:

• Подделка количества ядер процессора
• Подделка объёма ОЗУ
• Возврат пустого результата при вызове tasklist (если вредоносное ПО пытается перечислить запущенные инструменты анализа)
• Наивная подделка вывода powershell и wmic, что, как ни удивительно, обходит множество anti-anti-VM, основанных, например, на WMI-запросах powershell