guelfoweb/peframePEframe — это инструмент с открытым исходным кодом для статического анализа вредоносных программ в формате Portable Executable и вредоносных документов MS Office.
peframe — это инструмент с открытым исходным кодом для выполнения статического анализа вредоносных программ в формате Portable Executable <http://en.wikipedia.org/wiki/Portable_Executable>_ и других подозрительных файлов. Он помогает исследователям вредоносных программ обнаруживать упаковщики, XOR, цифровые подписи, мьютексы, антиотладку, антивиртуальные машины, подозрительные секции и функции, макросы и много другой информации о подозрительных файлах.
Загрузка
.. code-block::
sudo apt install git git clone https://github.com/guelfoweb/peframe.git cd peframe
Скрипт установки для Ubuntu
.. code-block::
sudo bash install.sh
Установка (требуются предварительные зависимости)
.. code-block::
sudo python3 setup.py install
Предварительные требования
Перед установкой и использованием peframe на вашей системе должны быть установлены следующие предварительные компоненты.
.. code-block::
python >= 3.6.6
python3-pip
libssl-dev
swig
peframe -h
.. code-block::
peframe filename Краткий вывод анализа
peframe -i filename Интерактивный режим
peframe -j filename Полный вывод анализа в формате JSON
peframe -x STRING filename Поиск XOR-строки
peframe -s filename Вывод строк
Примечание
Вы можете отредактировать файл "config-peframe.json" в папке "config", чтобы настроить API-ключ VirusTotal. После установки вы можете использовать "peframe -h", чтобы узнать путь к api_config.
Анализ документов MS Office (макросы) с помощью peframe 6.0.1
.. image:: https://asciinema.org/a/mbLd5dChz9iI8eOY15fC2423X.svg :target: https://asciinema.org/a/mbLd5dChz9iI8eOY15fC2423X?autoplay=1
Анализ PE-файлов с помощью peframe 6.0.1
.. image:: https://asciinema.org/a/P6ANqp0bHV0nFsuJDuqD7WQD7.svg :target: https://asciinema.org/a/P6ANqp0bHV0nFsuJDuqD7WQD7?autoplay=1
A Longitudinal Analysis of Brazilian Financial Malware <https://www.lasca.ic.unicamp.br/paulo/papers/2020-TOPS-marcus.botacin-brazilian.bankers.pdf>_ (Федеральный университет Параны, Marcus Botacin, Hojjat Aghakhani, Stefano Ortolani, Christopher Kruegel, Giovanni Vigna, Daniela Oliveira, Paulo Lício de Geus, André Grégio 2020)Building a smart and automated tool for packed malware detections using machine learning <https://dial.uclouvain.be/memoire/ucl/en/object/thesis%3A25193>_ (Политехническая школа Лувена, Католический университет Лувена, Minet, Jeremy; Roussieau, Julian 2020)Revealing Packed Malware <https://www.researchgate.net/publication/220496734_Revealing_Packed_Malware>_ (Департамент электротехники и компьютерной инженерии, Nirwan Ansari, Нью-Джерсийский технологический институт - NJIT)Critical Infrastructures Security: Improving Defense Against Novel Malware and Advanced Persistent Threats (PDF) <https://iris.uniroma1.it/retrieve/handle/11573/1362189/1359415/Tesi_dottorato_Laurenza.pdf>_ (Департамент компьютерной инженерии, управления и инженерии Antonio Ruberti, Сапиенца – Римский университет)Anatomy on Malware Distribution Networks (PDF) <https://ieeexplore.ieee.org/stamp/stamp.jsp?arnumber=9057639>_ (Департамент инженерии интеллектуальных систем, Университет Чеджу Халла, Чеджу 63092, Южная Корея)В настоящее время этот инструмент поддерживается Gianni 'guelfoweb' Amato, с которым можно связаться по адресу [email protected] или в Twitter @guelfoweb <http://twitter.com/guelfoweb>_. Приветствуются предложения и критика.
Intel Owl 0.4.0 <https://github.com/certego/IntelOwl/releases/tag/0.4.0>_ (платформа certego — данные разведки угроз о файле, IP-адресе или домене)Integration of Static and Dynamic Analysis for Malware Family Classification with Composite Neural Network <https://www.groundai.com/project/integration-of-static-and-dynamic-analysis-for-malware-family-classification-with-composite-neural-network/>_ (Yao Saint, Институт информатики Yen, Academia Sinica, Тайвань)Machine Learning Aided Static Malware Analysis: A Survey and Tutorial <https://www.researchgate.net/publication/324702503_Machine_Learning_Aided_Static_Malware_Analysis_A_Survey_and_Tutorial>_ (Sergii Banin, Andrii Shalaginov, Ali Dehghantanha, Katrin Franke, Норвегия)Multinomial malware classification, research of the Department of Information Security and Communication Technology (NTNU) <https://www.sciencedirect.com/science/article/pii/S1742287618301956>_ (Sergii Banin and Geir Olav Dyrkolbotn, Норвегия)SANS DFIR Poster 2016 <http://digital-forensics.sans.org/media/Poster_SIFT_REMnux_2016_FINAL.pdf>_ (PEframe был включен в набор инструментов REMnux)Tools for Analyzing Static Properties of Suspicious Files on Windows <http://digital-forensics.sans.org/blog/2014/03/04/tools-for-analyzing-static-properties-of-suspicious-files-on-windows>_ (SANS Цифровая криминалистика и реагирование на инциденты, Lenny Zeltser)Automated Static and Dynamic Analysis of Malware <http://www.cyberdefensemagazine.com/newsletters/august-2013/index.html#p=26>_ (Журнал Cyber Defence, Andrew Browne, директор лаборатории вредоносных программ Lavasoft)Suspicious File Analysis with PEframe <https://eforensicsmag.com/download/malware-analysis/>_ (Журнал eForensics, Chintan Gurjar)CERT FR Security Bulletin <https://www.cert.ssi.gouv.fr/actualite/CERTFR-2014-ACT-030/>_ (PEframe упоминался в бюллетене безопасности CERTFR-2014-ACT-030)Infosec CERT-PA Malware Analysis <https://infosec.cert-pa.it/analyze/submission.html>_ (PEframe используется в движке анализа вредоносных программ проекта Infosec)