IRFuzz - Простой сканер с правилами Yara

IRFuzz — это простой сканер с правилами Yara для архивов документов или любых файлов.

Установка

1. Предварительные требования

Linux или OS X

• Yara: просто используйте исходный код последнего релиза, скомпилируйте и установите (или установите через pip install yara-python)
• Yara Rules — Вы можете скачать правила Yara отсюда или импортировать собственный набор правил.
• Зависимости Python

Зависимости управляются с помощью pipenv. Чтобы начать, установите зависимости и активируйте виртуальное окружение следующими командами:

$ pipenv install

$ pipenv shell

Запуск IRFuzz - Watchd

Запуск IRFuzz

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

Поддерживаемые функции

• Сканирует новые файлы с помощью inotify
• Опрос, если inotify не поддерживается
• Поддерживаются пользовательские расширения
• Режим удаления удалит совпавшие файлы
• Рекурсивное сканирование директорий
• Выводит список совпавших функций Yara с yarastrings и ctime
• Результаты в CSV для Filebeat

Пользовательские расширения

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

Оповещение при совпадении правила Yara

Сгенерируйте токен на https://irfuzz.com/tokens

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

Настройте оповещения на веб-сайте для Telegram или вашей электронной почты.

Удаление совпавшего файла

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

Опрос (inotify не поддерживается)

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

Добавляет опцию --poll для принудительного использования механизма опроса для обнаружения изменений в каталоге данных. Опрос медленнее, чем встроенный механизм ОС для обнаружения изменений, но необходим для некоторых файловых систем, таких как SMB-монтирования.

Расширения по умолчанию, если расширения не указаны.

Поддерживаемые форматы файлов Microsoft Office Word

.doc .docm .docx .docx .dot .dotm .dotx .odt

Поддерживаемые форматы файлов Microsoft Office Excel

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

Поддерживаемые форматы файлов Microsoft Office PowerPoint

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

IRFuzz использует zipdump.py для анализа zip-файлов.