munin

 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

Онлайн-проверка хешей для Virustotal и других сервисов
Florian Roth

Что такое Munin?

Munin — это утилита для онлайн-проверки хешей, которая получает ценную информацию из различных онлайн-источников.

Текущая версия Munin опрашивает следующие сервисы:

• Virustotal
• HybridAnalysis
• Any.Run
• URLhaus
• MISP
• CAPE
• Malshare
• Valhalla
• Hashlookup

Скриншот

Режим по умолчанию — чтение хешей из файла

Использование

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Онлайн-проверщик хешей

необязательные аргументы:
  -h, --help            показать это справочное сообщение и выйти
  -f path               Файл для обработки (хеш построчно ИЛИ csv с хешем
                        в каждой строке — автоматически определяет позицию и комментарий)
  --vh search-string    Запрос к Valhalla для поиска хешей по ключевому слову, тегам,
                        имени YARA-правила, программному обеспечению Mitre ATT&CK (например, S0154),
                        технике (например, T1023) или группе угроз (например, G0049)
  --vhrule search-string
                        Запрос к Valhalla для поиска хешей по правилам через ключевое слово,
                        теги, имя YARA-правила, программное обеспечение Mitre ATT&CK (например,
                        S0154), технику (например, T1023) или группу угроз (например, G0049)
  -o output             Выходной файл для результатов (CSV)
  --vtwaitquota         Не продолжать, если квота VT превышена, а дождаться
                        следующего дня
  --vtminav min-matches
                        Минимальное количество совпадений с AV для запроса информации о хеше
                        из VT
  --limit hash-limit    Завершить работу после обработки указанного количества новых хешей
                        в пакетном режиме (кеш игнорируется).
  --vhmaxage days       Максимальный возраст образца в Valhalla для обработки
  -c cache-db           Имя файла базы данных кеша (по умолчанию: vt-hash-
                        db.json)
  -i ini-file           Имя ini-файла, содержащего API-ключи
  -s sample-folder      Папка с образцами для обработки
  --comment             Добавить комментарий для анализируемого хеша, который
                        содержит комментарий из строки лога
  -p vt-comment-prefix  Префикс комментария Virustotal
  --download            Включает загрузку образцов из Hybrid Analysis.
                        Требуется SHA256 образца.
  -d download_path      Путь для сохранения загруженных образцов из Hybrid
                        Analysis. Папка должна существовать
  --nocache             Не использовать файл базы данных кеша
  --nocsv               Не записывать CSV с результатами
  --verifycert          Проверять SSL/TLS-сертификаты
  --sort                Сортировать входные строки
  --web                 Запустить Munin как веб-сервис
  -w port               Порт веб-сервиса
  --cli                 Запустить Munin в режиме командной строки
  --rescan              Запустить повторное сканирование каждого проанализированного файла
  --debug               Отладочный вывод

Особенности

• Получает ценную информацию из Virustotal через API (ответ JSON) и другую информацию через постоянную ссылку (парсинг HTML)
• Получает дополнительную информацию из списка платформ
• Ведет историю (кеш), чтобы запрашивать сервисы только один раз для хеша, который может встречаться несколько раз в текстовом файле
• Кешированные объекты сохраняются в JSON
• Создает CSV-файл с результатами для удобной постобработки и отчетности
• Добавляет результаты к предыдущему CSV, если он доступен

Отображаемая информация

• Хеш и комментарий (комментарий — остаток строки, из которой был извлечен хеш)
• Совпадения с антивирусными вендорами на основе заданного пользователем списка
• Имена файлов, используемые в дикой природе
• Информация о PE-файле: описание, исходное имя файла, заявление об авторских правах
• Подписавший подписанный переносимый исполняемый файл
• Результат на основе соотношения Virustotal
• Первая и последняя отправка
• Теги для определенных индикаторов: Harmless, Signed, Expired, Revoked, MSSoftware

Дополнительные проверки

• Запрос к Malshare.com на наличие загрузок образцов
• Запрос к Hybrid-Analysis.com на наличие отчетов
• Запрос к нескольким экземплярам MISP на наличие доступных событий
• Запрос к песочнице Any.run на наличие отчетов
• Запрос к песочнице CAPE на наличие отчетов
• Запрос к URLhaus на наличие отчетов
• Запрос к Malshare на наличие доступных образцов
• Запрос к Valhalla на совпадения с YARA-правилами
• Проверка дубликатов Imphash в текущем пакете — позволяет выявить пересечения в хешах таблицы импорта
• Проверка дубликатов подписей PE

Режимы работы

1. По умолчанию — с указанием входного файла (-f) с хешами или директории с образцами (-s)
2. Запрос — для поиска хешей из Valhalla по ключевому слову, тегам, технике ATT&CK (например, T1023), группе угроз ATT&CK (например, G0049) или имени правила (-q)
3. Режим командной строки — с использованием параметра --cli
4. Режим веб-сервиса — с использованием параметра --web

Начало работы

1. Скачайте / клонируйте репозиторий
2. Установите необходимые пакеты: pip3 install -r requirements.txt (на macOS добавьте --user)
3. Установите API-ключи для различных сервисов в вашем собственном ini-файле: cp munin.ini my.ini (см. раздел «Получение API-ключей»)
4. Используйте демо-файл для первого запуска: python munin.py -i my.ini -f munin-demo.txt

Требования

• Python 3.7 и выше
• Подключение к Интернету (поддержка прокси; перехват SSL/TLS может быть проблемой)

Типичные командные строки

Обработка результата Virustotal Retrohunt с сортировкой строк перед проверкой, чтобы найденные сигнатуры проверялись блоками

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

Обработка директории с образцами и онлайн-проверка их хешей

python3 munin.py -i my.ini -s ~/malware/case34

Использование режима командной строки (новинка в v0.14)

python3 munin.py -i my.ini

Получение API-ключей

Virustotal

1. Создайте учетную запись здесь: https://www.virustotal.com/#/join-us
2. Проверьте раздел «Профиль > Мой API-ключ» для получения вашего публичного API-ключа

MalShare

Зарегистрируйтесь здесь: https://malshare.com/register.php

Malware Bazaar