REMnux 7.0 väljaanne, pahavara analüüsi jaotused.

Viie aastat pärast eelmise väljaande avaldamist koostatud on välja antud uus spetsialiseeritud Linuxi distributsioon REMnux 7.0, mis on mõeldud pahavara koodi uurimiseks ja pöördinseneri tegevuseks. REMnux analüüsi käigus loob isoleeritud laborikeskkonna, kus on võimalik simuleerida konkreetse rünnatava võrgu teenuse toimimist, et uurida pahavara käitumist tingimustes, mis on lähedased tegelikele. Teine REMnux kasutusvaldkond on pahavara sisestuste uurimine veebisaitidel, mis on rakendatud JavaScriptis.

Distributsioon põhineb Ubuntu 18.04 paketti põhjal ja kasutab kohandatud LXDE keskkonda. Veebibrauserina on kaasas Firefox koos NoScript laiendiga. Distributsioon sisaldab piisavalt laia tööriistade valikut pahavara analüüsimiseks, koodipöördinseneri tööriistu, tarkvara pahatahtlike PDF-ide ja kontoritokumentide uurimiseks, ning süsteemi aktiivsuse jälgimise vahendeid. Suurus käivituspildi REMnux, mis on loodud käivitamiseks virtualiseerimissüsteemide sees, on 5,2 GB. Uues väljaandes on kõik pakutavad tööriistad uuendatud, ja jaotise sisu on oluliselt laienenud (virtuaalmasina pildi suurus on kahekordistunud). Pakutavate utiliitide nimekiri on jagatud kategooriatesse.

Komplekti kuuluvad järgmised tööriistu:

• Veebilehtede analüüs: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Kahjulike Flash-rullikute analüüs: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
• Java analüüs: Java Cache IDX Parser, JD-GUI Java Dekompilaator, JAD Java Dekompilaator, Javassist, CFR;
• JavaScripti analüüs: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• PDF analüüs: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Microsoft Office dokumentide analüüs: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Shellcode analüüs: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• Keerulise koodi lugemiseks kohandamine (deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Stringiandmete väljavõtmine: strdeobj, pestr, strings;
• Failide taastamine: Foremost, Scalpel, bulk_extractor, Hachoir;
• Võrguaktiivsuse jälgimine: Wireshark, ngrep, TCPDump, tcpick;
• Võrguteenused: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
• Võrgutiliidid: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Client, stunnel, Just-Metadata;
• Töötamine pahavara näidiste kogumiga: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Signatuuride määramine: YaraGenerator, IOCextractor, Autorule, Reegli redaktor, ioc-parser;
• Skaneerimine: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Töötamine hash'idega: nsrllookup, Automater, Hash Identifier, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Pahavara analüüs Linuxile: Sysdig, Unhide
• Dizassemblerid: Vivisect, Udis86, objdump;
• Silumise tööriistad: Evan’s Debugger (EDB), GNU Project Debugger (GDB);
• Jälgimisse süsteemid: strace, ltrace
• Uurimine: Radare 2, Pyew, Bokken, m2elf, ELF Parser;
• Töötamine tekstiliste andmetega: SciTE, Geany, Vim;
• Töötamine piltidega: feh, ImageMagick;
• Töötamine binaarfailidega: wxHexEditor, VBinDiff;
• Mälu dumpide analüüs: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• PE-failide analüüs UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
• Mobiilsete seadmete pahavara analüüs: Androwarn, AndroGuard.

Allikas: opennet.ru