CrowdFMS

版权所有 (C) 2013 CrowdStrike, Inc. 本文档受BSD许可条款和条件的约束。请参阅主目录下的LICENSE文件以获取详细信息

CrowdFMS 是一个框架，用于通过利用私有API系统自动化从VirusTotal收集和处理样本。该框架会自动下载最近触发用户YARA通知源警报的样本。

用户还可以根据YARA规则名称，指定对这些新下载样本执行的命令。例如，用户可以指定所有匹配YARA规则“Zeus”的样本自动提交到Cuckoo沙箱。

Python模块：

• sqlite3
• shutil
• argparse
• requests
• re
• json
• requests

请将您的API密钥放置在 .virustotal 或 ~/.virustotal 文件中。

使用方法和工具： crowdfms.py - 主要样本收集系统

sample_details - 获取本地数据库中存储的样本详细信息

• 用法：sample_details.py -f -HASH- # Hash可以是MD5、SHA1或SHA256

fetch_file - 从数据库复制文件到当前工作目录

• 用法：fetch_file -f -HASH- # Hash可以是MD5、SHA1或SHA256

add_action - 添加新样本规则匹配时要执行的操作

• 用法：add_action -y -Yara规则名称- -c -要执行的命令- # 要执行的命令必须包含 %s，其中应填入样本路径

add_action - 添加新样本规则匹配时要执行的操作

• 用法：add_action -y -Yara规则名称- -c -要执行的命令- # 要执行的命令必须包含 %s，其中应填入样本路径

list_actions - 列出所有Yara -> 匹配

• 用法：list_actions