Utgivningen av REMnux 7.0, en distribution för analys av skadlig programvara

Fem år efter publiceringen av den senaste versionen formad släpps en ny version av den specialiserade Linux-distributionen REMnux 7.0, avsedd för studier och omvänd ingenjörskonst av skadlig kod. Under analysprocessen tillhandahåller REMnux en isolerad laboratoriemiljö där man kan emulera beteendet hos en specifik angripen nätverksservice för att studera hur skadlig programvara beter sig under verkliga förhållanden. En annan tillämpning av REMnux är att studera egenskaper hos skadliga inslag på webbplatser som implementerats i JavaScript.

Distributionen bygger på paketbasen Ubuntu 18.04 och använder det anpassade miljön LXDE. Firefox med tillägget NoScript levereras som webbläsare. Distributionen inkluderar ett ganska omfattande urval av verktyg för analys av skadlig programvara, verktyg för omvänd ingenjörskonst av kod, program för att studera PDF-dokument och kontorsdokument modifierade av angripare, samt verktyg för att övervaka aktivitet i systemet. Storleken på det bootbara avbilden REMnux, som är anpassad för lanseringen virtuella miljöer, är 5,2 GB. I den nya versionen har alla verktyg uppdaterats och distributionens innehåll har utökats avsevärt (storleken på virtuell maskinavbildning har fördubblats). Listan över tillgängliga verktyg är indelad i kategorier.

Följande ingår i paketet verktyg:

• Webbplatsanalys: Thug, mitmproxy, Network Miner Free Edition, curl, Wget, Burp Proxy Free Edition, Automater, pdnstool, Tor, tcpextract, tcpflow, passive.py, CapTipper, yaraPcap.py;
• Analys av skadliga Flash-filmer: xxxswf, SWF Tools, RABCDAsm, extract_swf, Flare;
• Analys av Java: Java Cache IDX Parser, JD-GUI Java Decompiler, JAD Java Decompiler, Javassist, CFR;
• Analys av JavaScript: Rhino Debugger, ExtractScripts, SpiderMonkey, V8, JS Beautifier;
• Analys av PDF: AnalyzePDF, Pdfobjflow, pdfid, pdf-parser, peepdf, Origami, PDF X-RAY Lite, PDFtk, swf_mastah, qpdf, pdfresurrect;
• Analys av Microsoft Office-dokument: officeparser, pyOLEScanner.py, oletools, libolecf, oledump, emldump, MSGConvert, base64dump.py, unicode;
• Analys av Shellcode: sctest, unicode2hex-escaped, unicode2raw, dism-this, shellcode2exe;
• Avskiljning av förvirrad kod (deobfuscation): unXOR, XORStrings, ex_pe_xor, XORSearch, brxor.py, xortool, NoMoreXOR, XORBruteForcer, Balbuzard, FLOSS
• Extrahering av strängdata: strdeobj, pestr, strings;
• Återställning av filer: Foremost, Scalpel, bulk_extractor, Hachoir;
• Övervakning av nätverksaktivitet: Wireshark, ngrep, TCPDump, tcpick;
• Nätverkstjänster: FakeDNS, Nginx, fakeMail, Honeyd, INetSim, Inspire IRCd, OpenSSH, accept-all-ips;
• Nätverksverktyg: prettyping.sh, set-static-ip, renew-dhcp, Netcat, EPIC IRC Client, stunnel, Just-Metadata;
• Arbete med en samling exempel på skadlig programvara: Maltrieve, Ragpicker, Viper, MASTIFF, Density Scout;
• Definition av signaturer: YaraGenerator, IOCextractor, Autorule, Regelredigerare, ioc-parser;
• Skanning: Yara, ClamAV, TrID, ExifTool, virustotal-submit, Disitool;
• Arbeta med hashvärden: nsrllookup, Automater, Hash Identifier, totalhash, ssdeep, virustotal-search, VirusTotalApi;
• Analys av skadlig programvara för Linux: Sysdig, Unhide
• Disassemblörer: Vivisect, Udis86, objdump;
• Debuggers: Evan’s Debugger (EDB), GNU Project Debugger (GDB);
• Spårningssystem: för att kontrollera paketöverföringen åt båda håll, ltrace
• Undersök: Radare 2, Pyew, Bokken, m2elf, ELF Parser;
• Arbeta med textdata: SciTE, Geany, Vim;
• Arbeta med bilder: feh, ImageMagick;
• Arbeta med binärfiler: wxHexEditor, VBinDiff;
• Analys av minnesdumpningar: Volatility Framework, findaes, AESKeyFinder, RSAKeyFinder, VolDiff, Rekall, linux_mem_diff_tool;
• Analys av körbara PE-filer UPX, Bytehist, Density Scout, PackerID, objdump, Udis86, Vivisect, Signsrch, pescanner, ExeScan, pev, Peframe, pedump, Bokken, RATDecoders, Pyew, readpe.py, PyInstaller Extractor, DC3-MWCP;
• Analys av skadlig programvara för mobila enheter: Androwarn, AndroGuard.

Källa: opennet.ru