circl/factual-rules-generatorГенерирует YARA-правила на основе установленного программного обеспечения в работающей ОС для создания базового образа известного ПО и поиска аналогичных установок в цифровых криминалистических данных.
Factual-rules-generator — это проект с открытым исходным кодом, предназначенный для генерации YARA-правил об установленном программном обеспечении на работающей операционной системе.
Цель программы — использовать набор правил для анализа собранных или полученных цифровых криминалистических доказательств и своевременно обнаруживать установленное программное обеспечение.
Программа может использоваться для составления базового набора известного ПО из системы Windows и создания набора правил для поиска аналогичных установок на других системах.
pefile
psutil
ndjson
python-tlsh
PyInstaller (для преобразования client.py в client.exe)
ssdeep
sudo apt-get install build-essential libffi-dev python3 python3-dev python3-pip libfuzzy-devpip install ssdeepНа основной операционной системе требуются некоторые инструменты: некоторые являются стандартными для Unix, а также дополнительные:
Для виртуальной машины Windows необходимо установить следующее программное обеспечение:
bin/OnWindows/Varclient.pybin/OnWindows/client.py в исполняемый файл с помощью PyInstaller и поместите в папку автозагрузкиetc/allVariables.py в соответствии с вашей конфигурациейВ каталоге test/ приведены некоторые примеры устанавливаемого программного обеспечения. Требуется следующий формат:
: или имя файла в случае msi или exe.: укажите имя исполняемого файла для извлечения и запуска (без расширения).installer, а затем после : тип установщика:
uninstaller, затем : и деинсталлятор, например choco, msiexec или exebin/Generator.py, не забудьте обновить etc/allVariables.py (критически важный шаг).
Factual-rules-generator is an open source project which aims to generate YARA rules about installed software from a machine.
Copyright (C) 2021-2022 David Cruciani
Copyright (C) 2021-2022 CIRCL - Computer Incident Response Center Luxembourg
This program is free software: you can redistribute it and/or modify
it under the terms of the GNU Affero General Public License as published by
the Free Software Foundation, either version 3 of the License, or
(at your option) any later version.
This program is distributed in the hope that it will be useful,
but WITHOUT ANY WARRANTY; without even the implied warranty of
MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
GNU Affero General Public License for more details.
You should have received a copy of the GNU Affero General Public License
along with this program. If not, see <http://www.gnu.org/licenses/>.