Uitgave REMnux 7.0, een distributie voor de analyse van malware

Vijf jaar na de publicatie van de vorige editie geformaliseerd is er een nieuwe release van een gespecialiseerde Linux-distributie REMnux 7.0, bedoeld voor het bestuderen en reverse engineering van malwarecode. Tijdens de analyse biedt REMnux een geïsoleerde laboratoriumomgeving waarin je de werking van een specifieke aangevallen netwerkservice kunt emuleren om het gedrag van malware in omstandigheden die dicht bij de realiteit liggen te bestuderen. Een ander toepassingsgebied van REMnux is het analyseren van de eigenschappen van malware-injecties op websites die zijn gebouwd met JavaScript.

De distributie is gebaseerd op de pakketbasis van Ubuntu 18.04 en gebruikt de desktopomgeving LXDE. De webbrowser Firefox wordt geleverd met de NoScript-extensie. Het pakket bevat een uitgebreide verzameling tools voor malware-analyse, utilities voor reverse engineering van code, programma's voor het onderzoeken van door aanvallers gewijzigde PDF- en kantoordocumenten, en middelen voor het monitoren van systeemactiviteit. De grootte het opstartimage van REMnux, geconfigureerd voor de lancering virtuele systemen, bedraagt 5,2 GB. In de nieuwe editie zijn alle aangeboden tools bijgewerkt en is de inhoud van de distributie aanzienlijk uitgebreid (de grootte van de virtuele machine-image is verdubbeld). De lijst met aangeboden utilities is ingedeeld in categorieën.

De volgende zijn inbegrepen tools:

• Website-analyse: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Analyse van schadelijke Flash-video's: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
• Java-analyse: Java Cache IDX Parser, JD-GUI Java Decompiler, JAD Java Decompiler, Javassist, CFR;
• JavaScript-analyse: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• PDF-analyse: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Analyse van Microsoft Office-documenten: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Shellcode-analyse: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• Obfuscation van verwarrende code naar leesbare vorm (deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Extractie van tekstgegevens: strdeobj, pestr, strings;
• Herstel van bestanden: Foremost, Scalpel, bulk_extractor, Hachoir;
• Monitoring van netwerkactiviteiten: Wireshark, ngrep, TCPDump, tcpick;
• Netwerkservices: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
• Netwerktools: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Client, stunnel, Just-Metadata;
• Werken met een verzameling van malwarevoorbeelden: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Definitie van handtekeningen: YaraGenerator, IOCextractor, Autorule, Regelbewerker, ioc-parser;
• Scannen: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Werken met hashes: nsrllookup, Automater, Hash Identifier, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Analyse van malware voor Linux: Sysdig, Unhide
• Disassemblers: Vivisect, Udis86, objdump;
• Debuggers: Evan’s Debugger (EDB), GNU Project Debugger (GDB);
• Trace-systemen: strace, ltrace
• Onderzoeken: Radare 2, Pyew, Bokken, m2elf, ELF Parser;
• Werken met tekstgegevens: SciTE, Geany, Vim;
• Werken met afbeeldingen: feh, ImageMagick;
• Werken met binaire bestanden: wxHexEditor, VBinDiff;
• Analyse van geheugendumps: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• Analyse van uitvoerbare PE-bestanden UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
• Analyse van malware voor mobiele apparaten: Androwarn, AndroGuard.

Bron: opennet.ru