Die neue Version der spezialisierten Linux-Distribution REMnux 8.0 wurde vorgestellt, die für das Lernen und die Reverse-Engineering von Schadcode entwickelt wurde. REMnux ermöglicht die Einrichtung einer isolierten Laborumgebung, in der der Betrieb eines angegriffenen Netzwerkdienstes emuliert werden kann, um das Verhalten von Malware unter nahezu realen Bedingungen zu untersuchen.
Die Distribution basiert auf dem Paketrepository von Ubuntu und enthält Tools zur Analyse von Malware, Utilities für das Reverse Engineering von Code, Programme zur Analyse von von Angreifern modifizierten PDF- und Office-Dokumenten sowie Mittel zur Überwachung der Systemaktivität. Insgesamt stehen mehr als 200 spezialisierte Tools zur Verfügung. Für den Download werden Images für Virtualisierungssysteme im Format „ova“ (VirtualBox) und „bqcow2“ (Proxmox) angeboten, mit einer Größe von 8 GB. Das Projekt stellt auch eine Sammlung von Docker-Images zur Verfügung, um einzelne Tools isoliert in bestehenden Systemen auszuführen.
In der neuen Version:
- Die Systemumgebung wurde von Ubuntu 20.04 auf 24.04 aktualisiert. Die Versionen der im Distribution enthaltenen Tools wurden ebenfalls aktualisiert.
- Ein neuer Installer wurde hinzugefügt, der es ermöglicht, die in der Distribution angebotene Umgebung über bereits vorhandene Installationen von Ubuntu 24.04 zu installieren.
- Die Möglichkeit zur Nutzung von KI-Assistenten zur Analyse von Malware wurde bereitgestellt. Enthalten ist ein eigener MCP-Server zur Integration der im Distributionspaket vorhandenen Werkzeuge mit verschiedenen KI-Agenten. Die Nutzung des KI-Agenten OpenCode im Terminal wurde hinzugefügt. Das Paket GhidrAssistMCP zur Automatisierung des Reverse Engineerings in Ghidra wurde hinzugefügt. Die Plugins r2ai und decai für das Radare2-Framework wurden hinzugefügt.
- Neu in der Sammlung sind folgende Werkzeuge:
- YARA-X (YARA, neu geschrieben in Rust) mit aktualisierten YARA-Forge-Regeln.
- GoReSym und Redress zur Analyse von ausführbaren Dateien von Projekten in der Programmiersprache Go.
- Manalyze und LIEF zur Analyse von ausführbaren Dateien in den Formaten PE/ELF/MachO.
- pyinstxtractor-ng, uncompyle6 und AutoIt-Ripper zur Analyse von Malware in Python.
- APKiD zur Analyse von Android-Anwendungen.
- origamindee zur Analyse von PDF-Dateien.
- zbar-tools zur Dekodierung von QR-Codes.
Unter den im Paket enthaltenen Werkzeugen befinden sich:
- Webseitenanalyse: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
- Analyse von schädlichen Flash-Animationen: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
- Java-Analyse: Java Cache IDX Parser, JD-GUI Java Decompiler, JAD Java Decompiler, Javassist, CFR;
- JavaScript-Analyse: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
- PDF-Analyse: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
- Analyse von Microsoft Office-Dokumenten: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
- Analyse von Shellcode: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
- Lesen von obfuscated Code (Deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
- Extraktion von Zeichenfolgendaten: strdeobj, pestr, strings;
- Wiederherstellung von Dateien: Foremost, Scalpel, bulk_extractor, Hachoir;
- Überwachung der Netzwerkaktivität: Wireshark, ngrep, TCPDump, tcpick;
- Netzwerkdienste: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
- Netzwerkdienstprogramme: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Client, stunnel, Just-Metadata;
- Arbeit mit einer Sammlung von Schadsoftware-Beispielen: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
- Bestimmung von Signaturen: YaraGenerator, IOCextractor, Autorule, Rule Editor, ioc-parser;
- Scanning: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
- Arbeit mit Hashes: nsrllookup, Automater, Hash Identifier, totalhash, ssdeep, virustotal-search, VirusTotalApi;
- Malware-Analyse für Linux: Sysdig, Unhide
- Disassembler: Vivisect, Udis86, objdump;
- Debugger: Evan’s Debugger (EDB), GNU Project Debugger (GDB);
- Tracing-Systeme: strace, ltrace
- Untersuchen: Radare 2, Pyew, Bokken, m2elf, ELF Parser;
- Arbeit mit Textdaten: SciTE, Geany, Vim;
- Arbeit mit Bilder: feh, ImageMagick;
- Arbeit mit Binärdateien: wxHexEditor, VBinDiff;
- Analyse von Speicherabbildern: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
- Analyse von ausführbaren PE-Dateien: UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
- Analyse von Malware für mobile Geräte: Androwarn, AndroGuard.
Quelle: opennet.ru
