analyzer

该项目自动化了威胁情报分析师角色的日常任务在内部，无需外部资源交互。它通过使用不同的模块提取特征、工件和IoC，分析、可视化和结构化敏感文件（恶意软件）或数据。这些模块的输出可以轻松集成到你的研究或SOC平台中。

安装

git clone https://github.com/qeeqbox/analyzer.git && cd analyzer && chmod +x run.sh && ./run.sh auto_configure

界面

输出

• APT-恶意软件 JSON\HTML 报告（+190 样本）

功能

• 本地运行（离线）
• 分析缓冲区、文件或完整文件夹
• 实时分析（会话已保存）
• 2种模式（交互式和静默式）
• 生成HTML或JSON作为输出
• 将输出文件详细信息转储到mongodb
• 将原始json结果保存到mongodb
• 基本文件信息：MD5、字符集、MIME、ssdeep
• 不同的字符串/模式分析方法
• Web服务和API
• 端口、IP提示和国家描述
• 世界IP图像和标志
• DNS服务器描述（顶级服务器）
• 工件强制导向图
• 交叉引用强制导向图和表格
• 按类别划分的相似性图
• YARA模块，以及来自yara-rules-github的YARA规则
• YARA模块包括按索引的条件和标签
• 已实现白名单（Windows7、8和10文件）
• 检查WAF和代理绕过
• 拼写和标点检查
• 包含顶级钓鱼词汇
• Snort支持
• PDF、RTF、Phishing、MS Office和HTML模块
• 英语单词检测
• OCR单词检测
• 网站相似性检测（前10000名）
• BOM（字节顺序标记）检测
• MITRE ATT&CK工具和模式检测（可能存在误报）
• URL缩短器提取
• ASCII从UNICODE提取
• 免费/虚假电子邮件提取
• URL、EMAIL和TEL标签模式提取
• 信用卡、凭证和秘密模式提取
• 加密模式（base64、md5、sha1等）提取
• DGA（域名生成算法）模式提取

模块

• Linux包装器 - ELF信息、API函数描述、系统命令描述、节描述、库描述、加密节检测、符号提取、映射到检测的MITRE工件、交叉引用检测、行为检测
• Windows包装器 - PE信息、加密节检测、节描述、DLL描述、符号提取、签名提取和验证、API描述、PE ASLR、DEP、SEH和CFG检测、映射到检测的MITRE工件、API行为检测、DLL注入、Process Hollowing、Process Doppelganging等、交叉引用检测、图标提取、提取字符串文件信息、FileDescription、FileDescription等
• Android包装器 - APK信息、DEX信息、Manifest描述、Intent描述、资源提取、符号提取、类提取、大函数识别、交叉引用检测、API行为检测
• iPhone内置 - IPA信息
• BlackBerry COD内置 - COD信息、函数提取、字符串提取
• PCAP包装器 - 帧过滤、HTTP过滤、DNS过滤、ARP过滤、WAF检测、DGA检测、Snort解析
• PDF内置 - 对象枚举、键、javascript、js、OpenAction提取、流解析、字符串分析
• Office内置和包装器 - 元信息提取、超链接和目标链接提取、二进制可打印解析器、提取文本、提取DDE、宏提取
• OLE包装器 - 对象数量、对象提取、宏提取
• EMAIL内置和包装器 - 头部信息、附件提取和解析、提取正文、钓鱼模式检查
• 存档包装器 - 按扩展名提取MIME并猜测、在所有解包文件中查找模式、检测加密存档
• HTML包装器 - 提取脚本、iframe、链接和表单、解码/分析链接、脚本熵
• 一些模式 - AWS Client ID、Amazon MWS Auth Token、Amazon S3、ALIYUN OSS、AZURE Storage、Facebook Access Token、Github Token、Google API Key、Google CAPTCHA、Google OAuth、Google Secret、Google OAuth Access Token、Mailgun API Key、MailChimp API、Picatic API、Slack Token、Square Access Token、Square OAuth Secret、Stripe API、Twilio API、Twilio SID

一键自动配置

git clone https://github.com/qeeqbox/analyzer.git
cd analyzer
chmod +x run.sh
./run.sh auto_configure
项目界面 http://127.0.0.1:8000/login/ 将在初始化过程完成后自动打开

或者，如果你已经有docker-compose

docker-compose -f docker-compose-dev.yml up --build
然后打开 http://127.0.0.1:8000/login/

前提条件

apt-get install -y python3 python3-pip curl libfuzzy-dev yara libmagic-dev libjansson-dev libssl-dev libffi-dev tesseract-ocr libtesseract-dev libssl-dev swig p7zip-full radare2 dmg2img mongodb redis

pip3 install pyelftools macholib python-magic nltk Pillow jinja2 ssdeep pefile scapy r2pipe pytesseract M2Crypto requests tld tldextract bs4 psutil pymongo flask pyOpenSSL oletools extract_msg

某些模块需要前提条件包（如果你在使用这些包时遇到问题，我或许可以分享我在C#/C中开发的自己的替代方案）

路线图

• Java分析（用户请求）
• Web检测
• 为数据库添加用户名和密码包装器
• CSS清理

资源

Linux文档、MacOS文档、Windows文档、Android文档、software77、MITRE ATT&CK™、sc0ty、hexacorn、PEID、steren、bacde、cisco umbrella、yara rules community、大量研究资料

其他许可

通过使用本框架，你接受以下所有包的许可条款：yara、Yara-Rules、tesseract-ocr、swig、radare、vu1tur、oletools、mongodb、supervisor、msg-extractor、snort、pyelftools、macholib、pefile、scapy、python-magic、flask、werkzeug、gunicorn、flask-mongoengine、flask-admin、flask-login、flask-bcrypt、pyopenssl、flask-markdown、tld、psutil、gevent、dateutil、requests、pymongo、BeautifulSoup、tldextract、m2crypto、radare2、ssdeep、jinja2、Pillow、nltk、p7zip、redislabs、redis-py

免责声明/注意事项

• 未经适当配置请勿部署
• 设置一些安全组规则并移除默认凭据
• 本项目不是反恶意软件项目，不会隔离或删除恶意文件
• 本项目旨在分析分类数据并在本地训练某些AI，无需互联网/外部交互
• 如果我遗漏了某个资源或依赖项，请告知

其他项目