Lansarea REMnux 7.0, distribuția pentru analiza malware-ului

După cinci ani de la publicarea ultimei versiuni a fost format noua versiune a distribuției Linux specializate REMnux 7.0, destinat studierii și ingineriei inverse a codului programelor malware. În procesul de analiză, REMnux permite crearea unor condiții de mediu de laborator izolat, în care se poate emula funcționarea unui anumit serviciu de rețea atacat pentru a studia comportamentul programelor malware în condiții apropiate de cele reale. O altă aplicație a REMnux este examinarea proprietăților inserțiilor malware pe site-uri web, realizate în JavaScript.

Distribuția este construită pe baza pachetului Ubuntu 18.04 și folosește mediul personalizat LXDE. Ca browser web este inclus Firefox cu extensia NoScript. Pachetul distribuției include o gamă completă de instrumente pentru analiza programelor malware, utilitare pentru inginerie inversă a codului, programe pentru studierea documentelor PDF și de birou modificate de atacatori, precum și instrumente pentru monitorizarea activității în sistem. Dimensiunea imaginii de boot REMnux, formată pentru rulare în interiorul sistemelor de virtualizare, este de 5,2 GB. În noua versiune, toate instrucțiunile disponibile au fost actualizate, iar compoziția distribuției a fost extinsă semnificativ (dimensiunea imaginii mașinii virtuale s-a dublat). Lista utilitarelor disponibile este împărțită în categorii.

Pachetul include următoarele instrumente:

• Analiza site-urilor web: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Analiza filmulețelor Flash malware: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
• Analiza Java: Java Cache IDX Parser, JD-GUI Java Decompiler, JAD Java Decompiler, Javassist, CFR;
• Analiza JavaScript: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• Analiza PDF: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Analiza documentelor Microsoft Office: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Analiza Shellcode: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• Transformarea codului încurcat într-o formă citibilă (deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Extracția datelor de tip text: strdeobj, pestr, strings;
• Recuperarea fișierelor: Foremost, Scalpel, bulk_extractor, Hachoir;
• Monitorizarea activității de rețea: Wireshark, ngrep, TCPDump, tcpick;
• Servicii de rețea: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, , filtrul de pachete, accept-all-ips;
• Utilitare de rețea: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Client, stunnel, Just-Metadata;
• Lucrul cu o colecție de exemple de malware: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Determinarea semnăturilor: YaraGenerator, IOCextractor, Autorule, Editor de reguli, ioc-parser;
• Scanare: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Lucrul cu hash-uri: nsrllookup, Automater, Hash Identifier, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Analiza malware-ului pentru Linux: Sysdig, Unhide
• Dezasmblătoare: Vivisect, Udis86, objdump;
• Debuggere: Debugger-ul lui Evan (EDB), Debuggerul Proiectului GNU (GDB);
• Sisteme de trasare: strace, ltrace
• Investigare: Radare 2, Pyew, Bokken, m2elf, Parser ELF;
• Lucrul cu date textuale: SciTE, Geany, Vim;
• Lucrul cu imagini: feh, ImageMagick;
• Lucrul cu fișiere binare: wxHexEditor, VBinDiff;
• Analiza dump-urilor de memorie: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• Analiza fișierelor executabile PE UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, Extractor PyInstaller, DC3-MWCP;
• Analiza malware-ului pentru dispozitive mobile: Androwarn, AndroGuard.

Sursa: opennet.ro