REMnux 7.0, eine Distribution zur Analyse von Malware

Fünf Jahre nach der Veröffentlichung der letzten Ausgabe vor zwei Wochen gebildet und ist nun als bereit für den Einsatz anerkannt. Über EPEL erhalten Nutzer von Red Hat Enterprise Linux-kompatiblen Distributionen ein zusätzliches Paketangebot aus Fedora Linux, das von den Communitys von Fedora und CentOS unterstützt wird. Binärpakete werden für die Architekturen x86_64, aarch64, ppc64le und s390x bereitgestellt. wurde eine neue Version des spezialisierten Linux-Distribution REMnux 7.0, die für die Analyse und das Reverse Engineering von Malware-Code konzipiert ist. REMnux bietet die Möglichkeit, eine isolierte Laborumgebung zu schaffen, in der die Funktionsweise eines bestimmten angegriffenen Netzwerkdienstes emuliert werden kann, um das Verhalten von Malware unter realitätsnahen Bedingungen zu studieren. Ein weiteres Anwendungsgebiet von REMnux ist die Untersuchung der Eigenschaften von schädlichen Skripten auf JavaScript-basierten Webseiten.

Die Distribution basiert auf der Ubuntu 18.04-Paketbasis und verwendet die benutzerdefinierte Umgebung LXDE. Firefox mit dem NoScript-Add-on wird als Webbrowser mitgeliefert. In der Distribution ist eine umfassende Sammlung von Tools zur Analyse von Malware, zur Durchführung von Reverse Engineering von Code, zur Untersuchung von durch Angreifer modifizierten PDFs und Office-Dokumenten sowie zur Überwachung der Systemaktivität enthalten. Die Größe des Boot-Images von REMnux beträgt dem Start Innerhalb der Virtualisierungssysteme beträgt die Größe 5,2 GB. In der neuen Version wurden alle angebotenen Tools aktualisiert und der Inhalt des Distributionspakets erheblich erweitert (die Größe des virtuellen Maschinen-Images hat sich verdoppelt). Die Liste der angebotenen Utilities ist in Kategorien unterteilt.

Das Paket umfasst folgende Werkzeuge:

• Website-Analyse: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Analyse von bösartigen Flash-Videos: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
• Java-Analyse: Java Cache IDX Parser, JD-GUI Java Decompiler, JAD Java Decompiler, Javassist, CFR;
• JavaScript-Analyse: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• PDF-Analyse: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Analyse von Microsoft Office-Dokumenten: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Shellcode-Analyse: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• Lesen des obfuskierten Codes (Deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Extrahieren von String-Daten: strdeobj, pestr, strings;
• Wiederherstellung von Dateien: Foremost, Scalpel, bulk_extractor, Hachoir;
• Überwachung der Netzwerkaktivitäten: Wireshark, ngrep, TCPDump, tcpick;
• Netzwerkdienste: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
• Netzwerk-Utilities: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Client, stunnel, Just-Metadata;
• Arbeiten mit einer Sammlung von Malware-Beispielen: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Signaturanalyse: YaraGenerator, IOCextractor, Autorule, Regel-Editor, ioc-parser;
• Scannen: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Arbeiten mit Hashes: nsrllookup, Automater, Hash Identifier, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Analyse von Malware für Linux: Sysdig, Unhide
• Disassembler: Vivisect, Udis86, objdump zu vergleichen.;
• Debugger: Evan’s Debugger (EDB), GNU Project Debugger (GDB);
• Tracing-Systeme: strace, ltrace
• Untersuchen: Radare 2, Pyew, Bokken, m2elf, ELF Parser;
• Arbeiten mit Textdaten: SciTE, Geany, Vim;
• Arbeiten mit Bildern: feh, ImageMagick;
• Arbeiten mit Binärdateien: wxHexEditor, VBinDiff;
• Analyse von Speicherdumps: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• Analyse von ausführbaren PE-Dateien UPX, Bytehist, Density Scout, PackerID, objdump zu vergleichen., Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
• Analyse von Malware für mobile Geräte: Androwarn, AndroGuard.

Quelle: opennet.ru