Издание REMnux 7.0, дистрибуция за анализ на зловреден софтуер

След пет години от публикуването на предишното издание сформирано ново издание на специализиран Linux дистрибутив REMnux 7.0, предназначен за изучаване и обратен инжинеринг на код на зловреден софтуер. При анализа REMnux позволява осигуряването на условия на изолирано лабораторно обкръжение, в което може да се емулира работата на определена атакувана мрежова услуга за изучаване поведението на зловредния софтуер при условия, близки до реалните. Друга област на приложение на REMnux е изучаването на свойства на зловредни внедрявания на уебсайтове, реализирани на JavaScript.

Дистрибутивът е построен на пакетната база Ubuntu 18.04 и използва потребителска среда LXDE. В качеството на уеб браузър е предоставен Firefox с разширение NoScript. В комплекта на дистрибутива е включена достатъчно обширна подборка от инструменти за анализ на зловреден софтуер, утилити за провеждане на обратно инжинеринг на код, програми за изучаване на модифицирани от злонамерени лица PDF и офис документи, средства за мониторинг на активността в системата. Размерът на загрузъчния образ REMnux, форматиран за старт вътре в системите за виртуализация, е 5.2 Гб. В новото издание са обновени всички предлагани инструменти, значително е разширен съставът на дистрибутива (размерът на образа на виртуалната машина се е удвоил). Списъкът на предлаганите утилити е разделен на категории.

В комплекта влизат следните инструменти:

• Анализ на уебсайтове: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Анализ на зловредни Flash клипове: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
• Анализ на Java: Java Cache IDX Parser, JD-GUI Java Decompiler, JAD Java Decompiler, Javassist, CFR;
• Анализ на JavaScript: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• Анализ на PDF: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Анализ на документи на Microsoft Office: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Анализ на Shellcode: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• Привеждане на заплетен код в четим вид (deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Извличане на стрингови данни: strdeobj, pestr, strings;
• Восстановяване на файлове: Foremost, Scalpel, bulk_extractor, Hachoir;
• Мониторинг на мрежова активност: Wireshark, ngrep, TCPDump, tcpick;
• Мрежови услуги: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
• Мрежови утилити: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Client, stunnel, Just-Metadata;
• Работа с колекция от примери за зловреден софтуер: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Определяне на сигнатури: YaraGenerator, IOCextractor, Autorule, Редактор на правила, ioc-parser;
• Сканиране: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Работа с хешове: nsrllookup, Automater, Hash Identifier, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Анализ на зловреден софтуер за Linux: Sysdig, Unhide
• Дизасемблери: Vivisect, Udis86, objdump;
• Отладчици: Дебъгерът на Еван (EDB), GNU Project Debugger (GDB);
• Системи за проследяване: strace, ltrace
• Разследвайте: Radare 2, Pyew, Bokken, m2elf, ELF Parser;
• Работа с текстови данни: SciTE, Geany, Vim;
• Работа с изображения: feh, ImageMagick;
• Работа с бинарни файлове: wxHexEditor, VBinDiff;
• Анализ на дъмпове на паметта: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• Анализ на изпълними PE-файлове UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
• Анализ на зловреден софтуер за мобилни устройства: Androwarn, AndroGuard.

Източник: opennet.ru