Wydanie REMnux 7.0, dystrybucji do analizy złośliwego oprogramowania

Minęło pięć lat od publikacji poprzedniej wersji wyrównany nowa wersja specjalistycznego dystrybucji Linuxa REMnux 7.0, przeznaczona do nauki i inżynierii odwrotnej złośliwego oprogramowania. W procesie analizy REMnux umożliwia stworzenie warunków izolowanego laboratorium, w którym można emulować działanie określonej atakowanej usługi sieciowej w celu badania zachowania złośliwego oprogramowania w warunkach zbliżonych do rzeczywistych. Innym zastosowaniem REMnux jest badanie właściwości złośliwych skryptów na stronach internetowych zrealizowanych w JavaScript.

Dystrybucja oparta na bazie pakietów Ubuntu 18.04 i wykorzystuje środowisko użytkownika LXDE. W zestawie dostarczane jest przeglądarka Firefox z dodatkiem NoScript. Zestaw dystrybucji zawiera dość pełny zbiór narzędzi do analizy złośliwego oprogramowania, narzędzi do inżynierii odwrotnej, programów do badania zmodyfikowanych przez przestępców plików PDF i dokumentów biurowych, a także narzędzi do monitorowania aktywności systemu. Rozmiar obrazu startowego REMnux, przygotowanego do uruchamiania w systemach wirtualizacyjnych, wynosi 5,2 GB. W nowej wersji zaktualizowane zostały wszystkie dostępne narzędzia, a skład dystrybucji został znacznie rozszerzony (rozmiar obrazu maszyny wirtualnej zwiększył się dwukrotnie). Lista dostępnych narzędzi została podzielona na kategorie.

W zestawie znajdują się następujące narzędzia:

• Analiza stron internetowych: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Analiza złośliwych filmów Flash: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
• Analiza Javy: Java Cache IDX Parser, JD-GUI Java Decompiler, JAD Java Decompiler, Javassist, CFR;
• Analiza JavaScriptu: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• Analiza PDF: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Analiza dokumentów Microsoft Office: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Analiza Shellcode: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• Przekształcanie zwinnego kodu w czytelną formę (deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Ekstrakcja danych tekstowych: strdeobj, pestr, strings;
• Odzyskiwanie plików: Foremost, Scalpel, bulk_extractor, Hachoir;
• Monitorowanie aktywności sieciowej: Wireshark, ngrep, TCPDump, tcpick;
• Usługi sieciowe: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
• Narzędzia sieciowe: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Client, stunnel, Just-Metadata;
• Praca z kolekcją próbek złośliwego oprogramowania: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Definicja sygnatur: YaraGenerator, IOCextractor, Autorule, Edytor reguł, ioc-parser;
• Skanowanie: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Praca z hashami: nsrllookup, Automater, Identyfikator hashy, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Analiza złośliwego oprogramowania dla Linuxa: Sysdig, Unhide
• Dizassemblery: Vivisect, Udis86, objdump;
• Debuggery: Debugger Evana (EDB), Debugger projektu GNU (GDB);
• Systemy śledzenia: strace, ltrace
• Investigate: Radare 2, Pyew, Bokken, m2elf, ELF Parser;
• Praca z danymi tekstowymi: SciTE, Geany, Vim;
• Praca z obrazami: feh, ImageMagick;
• Praca z plikami binarnymi: wxHexEditor, VBinDiff;
• Analiza zrzutów pamięci: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• Analiza wykonywalnych plików PE UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
• Analiza złośliwego oprogramowania dla urządzeń mobilnych: Androwarn, AndroGuard.

Źródło: opennet.ru