SSMA

SSMA — это простой анализатор вредоносного ПО, написанный на Python 3.

Возможности:

• Анализ заголовка и секций PE-файла (количество секций, энтропия секций/PE-файла, подозрительные названия секций, подозрительные флаги в характеристиках PE-файла и т.д.)

• Анализ ELF-файлов для исследования вредоносного ПО под Linux; использует различные инструменты с открытым исходным кодом (ldd, readelf, strings) для отображения структуры заголовка ELF, ASCII/UNICODE-строк, общих объектов, заголовков секций, таблицы символов и т.д.

• Поиск возможных доменов, email-адресов, IP-адресов в строках файла.

• Проверка, занесены ли домены в чёрные списки на основе Ransomware Domain Blocklist от abuse.ch и списка блокировки malwaredomains.com.

• Поиск функций Windows, часто используемых вредоносным ПО.

• Получение результатов от VirusTotal и/или загрузка файлов.

• Обнаружение вредоносного ПО на основе правил Yara

• Обнаружение известных программных упаковщиков.

• Обнаружение наличия криптографических алгоритмов.

• Обнаружение методов анти-отладки и анти-виртуализации, используемых вредоносным ПО для уклонения от автоматического анализа.

• Выявление документов, созданных для внедрения вредоносного кода.

• Генерация отчёта в формате json.

• Массовый анализ путём указания папки.

Использование

git clone https://github.com/secrary/SSMA

cd SSMA

sudo pip3 install -r requirements.txt

python3 ssma.py -h

Использование virtualenv

git clone https://github.com/secrary/SSMA
cd SSMA
virtualenv -p python3 env
source env/bin/activate
pip3 install -r requirements.txt
python3 ssma.py -h

Дополнительно: ssdeep - Установка

Подробнее: Простой статический анализатор вредоносного ПО

Авторы

• pielco11
• firmianay
• Evan-Sa