Инструмент автоматизации криминалистики

Инструмент автоматизации криминалистики (AFOT) — это инструмент автоматизации, написанный на Python и используемый для криминалистического анализа Windows, объединяющий следующие инструменты:

• AnalyzePESig (http://didierstevens.com/files/software/AnalyzePESig_V0_0_0_2.zip)
• National Software Reference Library reduced set (http://www.nsrl.nist.gov/RDS/rds_2.52/rds_252m.zip)
• NSRL Tool (http://didierstevens.com/files/software/nsrl_V0_0_2.zip)
• VirusTotal Search Tool (http://didierstevens.com/files/software/virustotal-search_V0_1_2.zip)

Требования

Сценарий использует Python версии 2.7, но, скорее всего, будет работать и с Python 3. Вам потребуется установить PIP в вашей системе. Подробнее см. в документации Python.

У вас должен быть собственный API-ключ VirusTotal. Просто создайте аккаунт на сайте VirusTotal и получите API-ключ. Затем добавьте его как значение __VIRUSTOTALAPIKEY__.

Использование

Просто запустите python afot.py в терминале.

Порядок работы

Итак, порядок действий довольно прост:

• Пользователь указывает путь, который будет использоваться для анализа всех исполняемых файлов в этих папках/подпапках.
• AnalyzePESig ищет подписанные исполняемые файлы, чей сертификат скоро будет отозван.
• AFOT соберёт все неподписанные исполняемые файлы и перепроверит их с базой хэш-наборов NSRL с помощью инструмента NSRL.
• И последнее, но не менее важное: если какие-либо хэши также оказались в базе хэш-наборов NSRL, мы перепроверяем эти хэши с помощью VirusTotal, используя инструмент VirusTotal Search.

Участие в разработке

Подробнее см. в CONTRIBUTING.

Лицензия

Лицензия MIT (MIT). Подробнее см. в файле лицензии.