CrowdFMS

Copyright (C) 2013 CrowdStrike, Inc. Этот файл подчиняется условиям BSD License. См. файл LICENSE в основной директории для получения подробной информации

CrowdFMS — это фреймворк для автоматизации сбора и обработки образцов из VirusTotal с использованием системы Private API. Этот фреймворк автоматически загружает недавние образцы, которые вызвали срабатывание в канале уведомлений YARA пользователя.

Пользователи также могут указать команду для выполнения на этих недавно загруженных образцах, основываясь на имени правила YARA. Например, пользователь может указать, что все образцы, соответствующие правилу YARA «Zeus», должны автоматически отправляться в песочницу Cuckoo.

Модули Python:

• sqlite3
• shutil
• argparse
• requests
• re
• json
• requests

Пожалуйста, также поместите ваш API-ключ в .virustotal или ~/.virustotal

Использование и инструменты: crowdfms.py — основная система сбора образцов

sample_details — получение информации об образце, хранящемся в локальной базе данных

• Использование: sample_details.py -f -HASH- # Хеш может быть MD5, SHA1 или SHA256

fetch_file — копирование файла из базы данных в текущую рабочую директорию

• Использование: fetch_file -f -HASH- # Хеш может быть MD5, SHA1 или SHA256

add_action — добавление действия, выполняемого при совпадении нового образца с правилом

• Использование: add_action -y -Имя правила YARA- -c -Команда для выполнения- # Команда для выполнения должна содержать %s, куда будет подставлен путь к образцу

add_action — добавление действия, выполняемого при совпадении нового образца с правилом

• Использование: add_action -y -Имя правила YARA- -c -Команда для выполнения- # Команда для выполнения должна содержать %s, куда будет подставлен путь к образцу

list_actions — вывод списка всех правил YARA -> соответствий

• Использование: list_actions