Vydání REMnux 7.0, distribuce pro analýzu škodlivého softwaru

Po pěti letech od publikace posledního vydání byl vytvořen nové vydání specializované Linuxové distribuce REMnux 7.0, určené pro studium a reverzní inženýrství kódu škodlivých programů. Během analýzy REMnux umožňuje vytvořit podmínky izolovaného laboratorního prostředí, kde lze emulovat činnost konkrétního napadeného síťového služby pro studium chování škodlivého softwaru v podmínkách blízkých realitě. Další oblastí použití REMnux je zkoumání vlastností škodlivého kódu na webových stránkách, implementovaných v JavaScriptu.

Distribuce je postavena na balíčkové základně Ubuntu 18.04 a používá uživatelské prostředí LXDE. Jako webový prohlížeč obsahuje Firefox s doplňkem NoScript. Sada nástrojů pro analýzu škodlivého softwaru je dostatečně komplexní a obsahuje utility pro reverzní inženýrství kódu, programy pro studium pozměněných dokumentů PDF a kancelářských dokumentů, a nástroje pro monitorování aktivity v systému. Velikost spouštěcího obrazu REMnux, určeného pro spuštění v rámci virtualizačních systémů, činí 5,2 GB. V novém vydání byly aktualizovány všechny nabízené nástroje, a obsah distribuce byl výrazně rozšířen (velikost obrazu virtuální stroje se zdvojnásobila). Seznam nabízených utilit je rozdělen do kategorií.

V sadě jsou následující nástroje:

• Analýza webových stránek: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Analýza škodlivých Flash videí: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
• Analýza Java: Java Cache IDX Parser, JD-GUI Java Decompiler, JAD Java Decompiler, Javassist, CFR;
• Analýza JavaScriptu: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• Analýza PDF: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Analýza dokumentů Microsoft Office: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Analýza Shellcode: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• Převod zamotaného kódu do čitelného formátu (deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Extrakce řetězcových dat: strdeobj, pestr, strings;
• Obnova souborů: Foremost, Scalpel, bulk_extractor, Hachoir;
• Monitorování síťové aktivity: Wireshark, ngrep, TCPDump, tcpick;
• Síťové služby: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
• Síťové utility: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC klient, stunnel, Just-Metadata;
• Práce s kolekcí příkladů škodlivého softwaru: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Určení signatur: YaraGenerator, IOCextractor, Autorule, Editor pravidel, ioc-parser;
• Skenování: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Práce s hašemi: nsrllookup, Automater, Identifikátor haše, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Analýza škodlivého softwaru pro Linux: Sysdig, Unhide
• Disasembler: Vivisect, Udis86, objdump;
• Ladicí nástroje: Evan’s Debugger (EDB), GNU Project Debugger (GDB);
• Systémy trasování: strace, ltrace
• Vyšetřování: Radare 2, Pyew, Bokken, m2elf, ELF parser;
• Práce s textovými daty: SciTE, Geany, Vim;
• Práce s obrázky: feh, ImageMagick;
• Práce s binárními soubory: wxHexEditor, VBinDiff;
• Analýza dumpů paměti: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• Analýza spustitelných PE souborů UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
• Analýza škodlivého softwaru pro mobilní zařízení: Androwarn, AndroGuard.

Zdroj: opennet.ru