pegasus-malware-scan

Описание

Pegasus Malware Scan — это комплексное решение в области кибербезопасности, предназначенное для расширенного обнаружения угроз и анализа вредоносного ПО. Созданный на Python, этот мощный инструмент использует многоуровневые методы обнаружения для выявления и нейтрализации широкого спектра вредоносных программ — от обычных вирусов до сложных продвинутых постоянных угроз (APT).

Что такое Pegasus Malware Scan?

Pegasus Malware Scan представляет собой следующее поколение средств обнаружения вредоносного ПО, сочетающее традиционную проверку хэшей с современным поведенческим анализом и возможностями машинного обучения. В отличие от обычных антивирусных решений, которые в основном полагаются на сигнатурное обнаружение, Pegasus реализует гибридный подход, способный выявлять как известные угрозы, так и ранее не обнаруженное вредоносное ПО с помощью обнаружения аномалий.

Ключевые преимущества

• Легкий, но мощный: Оптимизированный код обеспечивает минимальное использование системных ресурсов при сохранении комплексной защиты
• Многоуровневое обнаружение: Сочетает несколько методов обнаружения для максимальной эффективности против различных угроз
• Готов к корпоративному использованию: Масштабируется от отдельных систем до крупных организационных развертываний с централизованным управлением
• Настраиваемый: Высокая степень конфигурируемости для удовлетворения конкретных требований безопасности в разных средах
• Открытая архитектура: Предназначен для интеграции с существующей инфраструктурой и инструментами безопасности

Варианты использования

• Реагирование на инциденты: Быстрое сканирование систем во время активных инцидентов безопасности для выявления вредоносного ПО
• Цифровая криминалистика: Анализ подозрительных файлов и систем для сбора доказательств при расследовании инцидентов
• Укрепление системы: Выполнение комплексных проверок для обеспечения целостности системы перед развертыванием
• Непрерывный мониторинг: Реализация постоянной защиты от развивающихся угроз в критически важных системах
• Исследования в области безопасности: Помощь в анализе и исследовании вредоносного ПО с помощью детальных возможностей сканирования

Технические характеристики

• Язык: Создан на Python 3.6+ для кроссплатформенной совместимости
• База данных: Использует оптимизированные NoSQL-базы данных для хранения информации об угрозах
• Системные требования:
  • Минимальные: 2 ГБ ОЗУ, 500 МБ дискового пространства, одноядерный процессор
  • Рекомендуемые: 4 ГБ ОЗУ, 1 ГБ дискового пространства, многоядерный процессор
• Поддерживаемые платформы: Windows, macOS, Linux (Ubuntu, CentOS, Debian)
• Интеграция через API: RESTful API для интеграции с другими инструментами безопасности
• Контейнеры: Поддержка Docker для простого развертывания и масштабирования

Архитектура системы

Pegasus Malware Scan использует модульную архитектуру, состоящую из следующих основных компонентов:

1. Механизм сканирования: Основной компонент, отвечающий за анализ файлов с использованием различных методов обнаружения
2. Модуль разведки угроз: Поддерживает обновленную базу данных известных угроз и индикаторов компрометации
3. Подсистема поведенческого анализа: Запускает и отслеживает подозрительные файлы в изолированной среде
4. Система отчетности и оповещения: Генерирует подробные отчеты и отправляет уведомления об обнаруженных угрозах
5. Консоль управления: Предоставляет единый интерфейс для настройки и мониторинга
6. Уровень интеграции: Обеспечивает взаимодействие с внешними системами и инструментами безопасности

Модульный дизайн позволяет легко обновлять и расширять функциональность без необходимости изменения основной системы.

Сценарии развертывания

Pegasus Malware Scan поддерживает несколько сценариев развертывания для удовлетворения различных потребностей организаций:

• Автономное развертывание: Установка непосредственно на отдельные конечные точки для независимой защиты
• Модель «клиент-сервер»: Центральный сервер управления с легковесными агентами на конечных точках
• Облачное развертывание: Модель SaaS с управлением и аналитикой, размещенными в облаке
• Гибридное развертывание: Комбинация локальных и облачных компонентов для оптимальной производительности
• Изолированные сети: Специальные варианты развертывания для изолированных сред с высокими требованиями безопасности

Соответствие стандартам безопасности

Pegasus Malware Scan разработан для помощи организациям в соблюдении требований безопасности нескольких нормативных рамок:

• Поддержка соответствия GDPR, HIPAA, PCI DSS и NIST Cybersecurity Framework
• Соответствие лучшим практикам OWASP для безопасной разработки
• Реализация правильных методов обработки данных для конфиденциальной информации
• Предоставление журналов аудита, подходящих для отчетности по соответствию
• Регулярное обновление для учета новых стандартов безопасности

Примечания к оригинальному проекту

• Очень базовый сканер вредоносных программ по сравнению хэшей
• Иногда это может понадобиться при реагировании на инциденты.
• Если вы обнаружили новые или подозрительные файлы во время реагирования, вы захотите проверить, где эти файлы существуют в системах. Тогда вам может понадобиться такой инструмент. Это демо-версия, не полная. Вы должны изменить и доработать код, сделав его своим.
• Сообщите мне, если потребуются какие-либо изменения или дополнительные функции.
• И нажмите «звёздочку», если это помогло. Тогда проект продолжит совершенствоваться.

Автор

• Letda Kes dr. Muhammad Sobri Maulana, S.Kom, CEH, OSCP, OSCE
• GitHub: github.com/sobri3195
• Контакт: [email protected]

Пожертвования

Поддержите этот проект: https://lynk.id/muhsobrimaulana

Возможности

Основные возможности сканирования

• Проверка файлов на основе хэша (бесплатные хэши вредоносного ПО): Использует бесплатные базы данных хэшей вредоносного ПО для выявления известных вредоносных файлов путем сравнения их криптографических хэшей без необходимости сигнатурного обнаружения.
• Сканирование включая подкаталоги: Автоматически обходит и сканирует все подкаталоги в целевом пути для полного покрытия файловых систем.
• Многопоточные задачи: Использует параллельную обработку для одновременного сканирования нескольких файлов, значительно сокращая общее время сканирования в системах с несколькими ядрами.
• Определение расширений файлов для сканирования: Позволяет пользователям настраивать, какие типы файлов сканировать, фокусируя ресурсы на потенциально исполняемых или опасных форматах.
• Определение каталогов, которые не нужно сканировать: Позволяет исключать определенные каталоги для предотвращения сканирования в чувствительных областях или для повышения производительности.

Интеграция и отчетность

• Легкое подключение scan_logs к SIEM (например, Splunk): Генерирует журналы в формате, который может быть напрямую загружен в системы управления событиями и информацией безопасности для централизованного мониторинга.
• Экспорт результатов сканирования в нескольких форматах (CSV, JSON, XML): Поддерживает различные форматы экспорта для интеграции с разными аналитическими инструментами и системами отчетности.
• Уведомления по электронной почте об обнаруженных угрозах: Автоматически отправляет оповещения при обнаружении вредоносных файлов, обеспечивая немедленное уведомление об инцидентах безопасности.
• Подробная аналитика угроз и панель отчетности: Предоставляет комплексные визуализации и метрики по результатам сканирования, распределению угроз и состоянию безопасности системы.

Расширенные возможности обнаружения

• Возможность сканирования в реальном времени для активного мониторинга: Непрерывно отслеживает активность файловой системы для обнаружения угроз по мере их появления, не дожидаясь запланированных проверок.
• Интеграция с облачными платформами разведки угроз: Подключается к внешним сервисам разведки угроз для улучшения возможностей обнаружения с помощью актуальной информации.
• Поведенческий анализ подозрительных файлов: Исследует поведение файлов при выполнении в контролируемой среде для выявления вредоносных шаблонов, которые может пропустить статический анализ.
• Запуск в «песочнице» для неизвестных файлов: Запускает подозрительные файлы в изолированной среде для безопасного наблюдения за их поведением и определения наличия вредоносности.
• Сканирование памяти для обнаружения бесфайлового вредоносного ПО: Выявляет вредоносное ПО, которое работает только в памяти, не записывая файлы на диск, обнаруживая продвинутые угрозы, которые обходят традиционное сканирование.
• Сканирование реестра для систем Windows: Проверяет реестр Windows на наличие подозрительных записей, которые могут указывать на механизмы сохранения вредоносного ПО.
• Идентификация и классификация семейств вредоносного ПО: Классифицирует обнаруженное вредоносное ПО по семействам, чтобы предоставить контекст об угрозе, её возможностях и потенциальных последствиях.

Возможности управления

• Легкая в обращении и изменении структура кода/функций: Спроектирована с модульной архитектурой, позволяющей легко настраивать и расширять функциональность.
• Запланированное сканирование с настраиваемой периодичностью: Позволяет пользователям настроить повторяющиеся проверки в предпочтительные интервалы (ежечасно, ежедневно, еженедельно) для поддержания безопасности системы.
• Удаленное сканирование сетевых устройств: Расширяет возможности сканирования на всю сеть для защиты всех подключенных устройств из единой точки управления.
• Сканирование и мониторинг USB-устройств: Автоматически обнаруживает и сканирует USB-устройства при подключении для предотвращения внедрения вредоносного ПО через сменные носители.
• Система карантина для зараженных файлов: Безопасно изолирует обнаруженное вредоносное ПО для предотвращения выполнения и распространения, позволяя проводить дальнейший анализ.
• Настраиваемые политики сканирования и действия по реагированию на угрозы: Позволяет администраторам определять, как система реагирует на различные типы угроз, от оповещения до автоматического устранения.

v1.0.5

• https://github.com/sobri3195/pegasus-malware-scan/blob/main/CHANGES

Предварительный просмотр

Пример результата сканирования (scan_result_log)

• datetime, scan_id, os, hostname, ip, file.........hash,

datetime="2022-12-23 13:52:45",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\chrome.exe",sha256="45de9f5a25bf478c6a8d8625a984895c9b3fdea6eb12a55ddd088dcebd9df5ab",created_at="2022-05-02 21:33:38",modified_at="2022-04-14 06:17:04"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineLauncher.exe",sha256="60fd9ceac8d1c40e835d3dc9aa77599d3f810a646199ecbdcb8003521ce7d502",created_at="2022-05-10 12:38:18",modified_at="2022-03-10 18:00:10"
datetime="2022-12-23 13:52:46",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\LineUpdater.exe",sha256="6b663f9f7bf3b6c1a2ce898b2402b691fff6dced36e9b0196e152bbfc409db42",created_at="2022-05-10 12:38:22",modified_at="2022-04-06 10:06:28"
datetime="2022-12-23 13:52:47",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\PCHunter32.exe",sha256="0544b99c52d607712d70351c6d9afb1fba6adb0de256baf662f06fdf6058aa3d",created_at="2022-05-10 11:36:04",modified_at="2017-08-14 02:27:08"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\report.xlsx",sha256="dd1dc1cb4ffa3e1b91f00496436416807f6153d53ac45e67ce1287c842bd5e3e",created_at="2022-04-27 23:53:33",modified_at="2021-09-07 10:52:40"
datetime="2022-12-23 13:52:48",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\TWOD_Launcher.exe",sha256="1d55ab0a703f2b8f5cc0d3cc93bedf7c03799b2b3e42defc83c175da8a125962",created_at="2022-04-27 23:54:50",modified_at="2022-04-07 09:14:08"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\unins000.exe",sha256="2da3b504c2b68219c0b4c6f062867dae091560c3f1e0735f1a7b17b1d79b5a90",created_at="2022-04-27 23:54:53",modified_at="2022-04-26 12:19:01"
datetime="2022-12-23 13:52:49",scan_id="4d7f0b1b-f771-4dd0-bb87-6453ff6341e8",os="Windows",hostname="DESKTOP-S5VJGLH",ip="192.168.0.23",infected_file="F:\code\pythonProject\malware_hash_scanner3\scan_test_dir\vmware-view.exe",sha256="17b21902170784d460fd0168e08f6e2075d6eb0a501093bc35184c550d73b5d8",created_at="2022-05-10 12:38:38",modified_at="2020-07-07 18:08:06"