Udgivelse af REMnux 7.0, en distribution til analyse af malware

Fem år efter offentliggørelsen af den seneste version er blevet dannet den nye udgave af den specialiserede Linux-distribution REMnux 7.0, der er designet til at studere og reverse engineere kode fra malware. Under analysen giver REMnux mulighed for at skabe et isoleret laboratoriemiljø, hvor man kan emulere funktionaliteten af en specifik udsat netværkstjeneste for at studere malware-adfærden under betingelser, der ligner virkeligheden. Et andet anvendelsesområde for REMnux er at studere egenskaberne ved ondsindede indsættelser på websteder, implementeret i JavaScript.

Distributionen er bygget på Ubuntu 18.04 og benytter desktops miljøet LXDE. Firefox kommer som webbrowser med NoScript-tilføjelsen. Distributionen indeholder et omfattende udvalg af værktøjer til analyse af malware, værktøjer til reverse engineering af kode, programmer til at studere manipulerede PDF- og kontordokumenter samt midler til overvågning af systemaktivitet. Størrelsen af den bootbare image REMnux, der er dannet til lanceringen indendørs virtualiseringssystemer, er 5,2 GB. I den nye udgave er alle de tilbudte værktøjer opdateret, og sammensætningen af distributionen er væsentligt udvidet (størrelsen på virtuel maskinebillede er fordoblet). Listen over tilgængelige værktøjer er opdelt i kategorier.

Sættet inkluderer følgende værktøjer:

• Webstedsanalyse: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Analyse af ondsindede Flash-film: xxxswf, SWF værktøjer, RABCDAsm, extract_swf, Flare;
• Analyse af Java: Java Cache IDX Parser, JD-GUI Java Dekompiler, JAD Java Dekompiler, Javassist, CFR;
• Analyse af JavaScript: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• Analyse af PDF: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Analyse af Microsoft Office-dokumenter: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Analyse af Shellcode: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• At gøre obfusceret kode læsbar (deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Udtrækning af strenge data: strdeobj, pestr, strings;
• Gendannelse af filer: Foremost, Scalpel, bulk_extractor, Hachoir;
• Overvågning af netværksaktivitet: Wireshark, ngrep, TCPDump, tcpick;
• Netværkstjenester: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
• Netværksværktøjer: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Klient, stunnel, Just-Metadata;
• Arbejder med en samling eksempler på malware: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Identifikation af signaturer: YaraGenerator, IOCextractor, Autorule, Regel Editor, ioc-parser;
• Scanning: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Arbejder med hashes: nsrllookup, Automater, Hash Identifier, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Analyse af malware til Linux: Sysdig, Unhide
• Disassemblere: Vivisect, Udis86, objdump;
• Debugger: Evan’s Debugger (EDB), GNU Project Debugger (GDB);
• Trace-systemer: strace, ltrace
• Undersøg: Radare 2, Pyew, Bokken, m2elf, ELF Parser;
• Arbejder med tekstdata: SciTE, Geany, Vim;
• Arbejder med billeder: feh, ImageMagick;
• Arbejder med binære filer: wxHexEditor, VBinDiff;
• Analyse af hukommelses dumps: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• Analyse af eksekverbare PE-filer UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
• Analyse af malware til mobile enheder: Androwarn, AndroGuard.

Kilde: opennet.ru