REMnux 7.0 Veröffentlichung, Distribution zur Analyse von Malware

Fünf Jahre nach der Veröffentlichung der letzten Ausgabe gebildet die neue Version einer spezialisierten Linux-Distribution REMnux 7.0, die für das Studium und die Reverse Engineering von Malware-Code gedacht ist. Bei der Analyse ermöglicht REMnux die Schaffung von Bedingungen in einer isolierten Laborumgebung, in der man das Verhalten einer bestimmten angegriffenen Netzwerkdienstleistung in realitätsnahen Bedingungen emulieren kann. Ein weiteres Anwendungsgebiet von REMnux ist die Untersuchung der Eigenschaften von Malware-Inserts auf Websites, die in JavaScript umgesetzt sind.

Die Distribution basiert auf dem Paketbestand von Ubuntu 18.04 und verwendet die benutzerdefinierte Umgebung LXDE. Als Webbrowser wird Firefox mit dem Add-on NoScript ausgeliefert. Das Distribution umfasst eine recht vollständige Sammlung von Werkzeugen zur Analyse von Malware, Utilitäten für das Reverse Engineering von Code, Programmen zum Studium von von Angreifern modifizierten PDF- und Office-Dokumenten sowie Methoden zur Überwachung der Systemaktivität. Die Größe des Boot-Images von REMnux, das für dem Start virtuelle Systeme erstellt wurde, beträgt 5,2 GB. In der neuen Version wurden alle verfügbaren Werkzeuge aktualisiert, der Bestand der Distribution wurde erheblich erweitert (die Größe des virtuellen Maschinenimages hat sich verdoppelt). Die Liste der verfügbaren Utilitäten ist in Kategorien unterteilt.

Das Paket enthält folgende Werkzeuge:

• Analyse von Websites: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Analyse von schädlichen Flash-Videos: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
• Analyse von Java: Java Cache IDX Parser, JD-GUI Java Decompiler, JAD Java Decompiler, Javassist, CFR;
• Analyse von JavaScript: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• Analyse von PDF: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Analyse von Microsoft Office-Dokumenten: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Analyse von Shellcode: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• Umwandlung von obfuskiertem Code in lesbare Form (Deobfuskation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Extrahieren von Zeichenfolgedaten: strdeobj, pestr, strings;
• Wiederherstellung von Dateien: Foremost, Scalpel, bulk_extractor, Hachoir;
• Überwachung der Netzwerkaktivität: Wireshark, ngrep, TCPDump, tcpick;
• Netzwerkdienste: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
• Netzwerktools: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Client, stunnel, Just-Metadata;
• Arbeiten mit einer Sammlung von Malware-Beispielen: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Definition von Signaturen: YaraGenerator, IOCextractor, Autorule, Regel-Editor, ioc-parser;
• Scannen: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Arbeiten mit Hashes: nsrllookup, Automater, Hash Identifier, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Malware-Analyse für Linux: Sysdig, Unhide
• Disassembler: Vivisect, Udis86, objdump;
• Debugger: Evan’s Debugger (EDB), GNU Project Debugger (GDB);
• Tracing-Systeme: strace, ltrace
• Untersuchen: Radare 2, Pyew, Bokken, m2elf, ELF-Parser;
• Arbeiten mit Textdaten: SciTE, Geany, Vim;
• Arbeiten mit Bildern: feh, ImageMagick;
• Arbeiten mit Binärdateien: wxHexEditor, VBinDiff;
• Analyse von Speicherabbildern: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• Analyse ausführbarer PE-Dateien UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
• Malware-Analyse für mobile Geräte: Androwarn, AndroGuard.

Quelle: opennet.ru