Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 05:03:35 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/forensics/basic-forensic-methodology/malware-analysis.md

15 KiB
Raw Blame History

Analyse de logiciels malveillants

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Feuilles de triche en forensique

https://www.jaiminton.com/cheatsheet/DFIR/#

Services en ligne

Outils antivirus et de détection hors ligne

Yara

Installation

sudo apt-get install -y yara

Préparer les règles

Utilisez ce script pour télécharger et fusionner toutes les règles de détection de logiciels malveillants yara depuis GitHub : https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9
Créez le répertoire rules et exécutez-le. Cela créera un fichier appelé malware_rules.yar qui contient toutes les règles yara pour les logiciels malveillants.

wget https://gist.githubusercontent.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9/raw/4ec711d37f1b428b63bed1f786b26a0654aa2f31/malware_yara_rules.py
mkdir rules
python malware_yara_rules.py

Analyse

L'étape initiale de l'analyse des logiciels malveillants consiste à effectuer une analyse de scan approfondie du fichier suspect. Cette analyse permet de détecter les signatures connues de logiciels malveillants et de déterminer si le fichier est potentiellement dangereux.

Il existe plusieurs outils d'analyse de scan disponibles, tels que les antivirus et les outils d'analyse de logiciels malveillants. Ces outils utilisent des bases de données de signatures pour comparer le fichier suspect à des modèles connus de logiciels malveillants.

Lors de l'analyse de scan, il est important de prendre en compte les résultats obtenus, mais aussi de les interpréter correctement. Certains fichiers peuvent être signalés comme suspects en raison de leur comportement ou de leur structure, même s'ils ne sont pas réellement malveillants.

Il est également important de noter que les logiciels malveillants peuvent utiliser des techniques d'obfuscation pour masquer leur véritable nature. Par conséquent, il est possible que certains fichiers malveillants ne soient pas détectés par les outils d'analyse de scan traditionnels.

En résumé, l'analyse de scan est une étape cruciale dans la méthodologie d'analyse des logiciels malveillants. Elle permet de détecter les signatures connues de logiciels malveillants et de déterminer si un fichier est potentiellement dangereux. Cependant, il est important de prendre en compte les résultats obtenus et de les interpréter correctement, en tenant compte des techniques d'obfuscation utilisées par les logiciels malveillants.

yara -w malware_rules.yar image  #Scan 1 file
yara -w malware_rules.yar folder #Scan the whole folder

YaraGen: Vérification des logiciels malveillants et création de règles

Vous pouvez utiliser l'outil YaraGen pour générer des règles yara à partir d'un binaire. Consultez ces tutoriels : Partie 1, Partie 2, Partie 3

python3 yarGen.py --update
python3.exe yarGen.py --excludegood -m  ../../mals/

ClamAV

Installation

To install ClamAV, follow these steps:

  1. Update your package manager:
sudo apt update
  1. Install ClamAV:
sudo apt install clamav
  1. Update the virus database:
sudo freshclam
  1. Scan a file or directory for malware:
clamscan <file or directory>
  1. Remove infected files:
clamscan --remove <file or directory>
  1. Schedule regular scans:
sudo crontab -e

Add the following line to the crontab file to run a daily scan at 2 AM:

0 2 * * * clamscan -r /path/to/scan
  1. Enable automatic updates:
sudo systemctl enable clamav-freshclam

That's it! ClamAV is now installed and ready to use for malware analysis.

sudo apt-get install -y clamav

Analyse

L'étape initiale de l'analyse des logiciels malveillants consiste à effectuer une analyse approfondie du fichier suspect. Cette analyse peut être réalisée à l'aide d'outils d'analyse de logiciels malveillants tels que des scanners antivirus, des outils de détection de comportement malveillant et des outils d'analyse statique.

Analyse antivirus

Les scanners antivirus sont des outils couramment utilisés pour détecter les logiciels malveillants. Ils fonctionnent en comparant les signatures des fichiers suspects avec une base de données de signatures de logiciels malveillants connus. Si une correspondance est trouvée, le fichier est considéré comme malveillant.

Analyse de comportement malveillant

L'analyse de comportement malveillant consiste à exécuter le fichier suspect dans un environnement contrôlé pour observer son comportement. Cela peut inclure l'observation des actions effectuées par le fichier, telles que la création de fichiers ou de processus, les communications réseau, les modifications du registre, etc. Les outils d'analyse de comportement malveillant peuvent aider à détecter les activités suspectes.

Analyse statique

L'analyse statique consiste à examiner le fichier suspect sans l'exécuter. Cela peut inclure l'examen du code source, des métadonnées du fichier, des chaînes de caractères, des fonctions d'importation/exportation, etc. L'analyse statique peut révéler des informations sur les fonctionnalités du logiciel malveillant et aider à identifier les indicateurs de compromission.

Une fois l'analyse initiale terminée, les résultats peuvent être utilisés pour déterminer si le fichier est malveillant ou non. Si le fichier est identifié comme malveillant, des mesures appropriées peuvent être prises pour le neutraliser et prévenir toute autre infection.

sudo freshclam      #Update rules
clamscan filepath   #Scan 1 file
clamscan folderpath #Scan the whole folder

Capa

Capa détecte les capacités potentiellement malveillantes dans les exécutables : PE, ELF, .NET. Il trouvera donc des choses telles que les tactiques Att&ck, ou des capacités suspectes telles que :

  • vérification des erreurs OutputDebugString
  • exécution en tant que service
  • création de processus

Obtenez-le dans le dépôt Github.

IOCs

IOC signifie Indicator Of Compromise. Un IOC est un ensemble de conditions qui identifient un logiciel potentiellement indésirable ou un logiciel malveillant confirmé. Les équipes Blue utilisent ce type de définition pour rechercher ce type de fichiers malveillants dans leurs systèmes et réseaux.
Le partage de ces définitions est très utile, car lorsque des logiciels malveillants sont identifiés sur un ordinateur et qu'un IOC pour ce logiciel malveillant est créé, d'autres équipes Blue peuvent l'utiliser pour identifier plus rapidement le logiciel malveillant.

Un outil pour créer ou modifier des IOCs est IOC Editor.
Vous pouvez utiliser des outils tels que Redline pour rechercher des IOCs définis sur un appareil.

Loki

Loki est un scanner pour les Indicateurs Simples de Compromission.
La détection est basée sur quatre méthodes de détection :

1. File Name IOC
Regex match on full file path/name

2. Yara Rule Check
Yara signature matches on file data and process memory

3. Hash Check
Compares known malicious hashes (MD5, SHA1, SHA256) with scanned files

4. C2 Back Connect Check
Compares process connection endpoints with C2 IOCs (new since version v.10)

Linux Malware Detect

Linux Malware Detect (LMD) est un scanner de logiciels malveillants pour Linux publié sous la licence GNU GPLv2, conçu pour faire face aux menaces rencontrées dans les environnements d'hébergement partagé. Il utilise des données de menace provenant de systèmes de détection d'intrusion en bordure de réseau pour extraire les logiciels malveillants utilisés activement dans les attaques et génère des signatures pour la détection. De plus, les données de menace sont également obtenues à partir des soumissions des utilisateurs avec la fonction de vérification de LMD et des ressources de la communauté des logiciels malveillants.

rkhunter

Des outils comme rkhunter peuvent être utilisés pour vérifier le système de fichiers à la recherche de possibles rootkits et logiciels malveillants.

sudo ./rkhunter --check -r / -l /tmp/rkhunter.log [--report-warnings-only] [--skip-keypress]

FLOSS

FLOSS est un outil qui tentera de trouver des chaînes de caractères obfusquées à l'intérieur des exécutables en utilisant différentes techniques.

PEpper

PEpper vérifie quelques éléments de base à l'intérieur de l'exécutable (données binaires, entropie, URLs et IPs, certaines règles yara).

PEstudio

PEstudio est un outil qui permet d'obtenir des informations sur les exécutables Windows tels que les imports, les exports, les en-têtes, mais qui vérifiera également VirusTotal et trouvera des techniques potentielles d'Att&ck.

Detect It Easy(DiE)

DiE est un outil permettant de détecter si un fichier est crypté et de trouver des packers.

NeoPI

NeoPI est un script Python qui utilise diverses méthodes statistiques pour détecter du contenu obfusqué et crypté dans des fichiers texte/script. L'objectif de NeoPI est d'aider à la détection de code de coquille web caché.

php-malware-finder

php-malware-finder fait de son mieux pour détecter du code obfusqué/douteux ainsi que des fichiers utilisant des fonctions PHP souvent utilisées dans les malwares/coquilles web.

Signatures binaires Apple

Lors de l'analyse d'un échantillon de malware, vous devriez toujours vérifier la signature du binaire car le développeur qui l'a signé peut déjà être lié à un malware.

#Get signer
codesign -vv -d /bin/ls 2>&1 | grep -E "Authority|TeamIdentifier"

#Check if the app’s contents have been modified
codesign --verify --verbose /Applications/Safari.app

#Check if the signature is valid
spctl --assess --verbose /Applications/Safari.app

Techniques de détection

Empilement de fichiers

Si vous savez qu'un dossier contenant les fichiers d'un serveur web a été dernièrement mis à jour à une certaine date, vérifiez la date de création et de modification de tous les fichiers du serveur web et si une date est suspecte, vérifiez ce fichier.

Baselines

Si les fichiers d'un dossier ne devraient pas avoir été modifiés, vous pouvez calculer le hash des fichiers originaux du dossier et les comparer avec les fichiers actuels. Tout ce qui a été modifié sera suspect.

Analyse statistique

Lorsque les informations sont enregistrées dans des journaux, vous pouvez vérifier des statistiques telles que le nombre de fois où chaque fichier d'un serveur web a été accédé, car un web shell pourrait être l'un des plus utilisés.

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥