Malware analysis notes

Песочницы и сканеры для динамического анализа вредоносного ПО

• any.run — интерактивная онлайн-песочница.
• BoomBox — автоматическое развертывание лаборатории для исследования вредоносных программ Cuckoo Sandbox с помощью Packer и Vagrant.
• Cuckoo Sandbox — автономная песочница с открытым исходным кодом и автоматизированная система анализа.
• cuckoo-modified — модифицированная версия Cuckoo Sandbox, выпущенная под лицензией GPL.
• cuckoo-modified-api — API Python, используемый для управления песочницей, модифицированной cuckoo.
• detux — песочница, разработанная для анализа трафика вредоносных программ Linux и захвата IOC.
• DRAKVUF — Система динамического анализа вредоносных программ.
• firmware.re — Распаковывает, сканирует и анализирует практически любую версию прошивки.
• HaboMalHunter — инструмент автоматизированного анализа вредоносных программ для файлов ELF Linux.
• Jotti — бесплатный мульти-AV-сканер онлайн.
• Limon — песочница для анализа вредоносного ПО для Linux.
• Malheur — Автоматический изолированный анализ поведения вредоносных программ.
• malice.io — Масштабируемый фреймворк для анализа вредоносных программ.
• malsub — API-фреймворк для онлайн-сервисов анализа вредоносных программ и URL-адресов.
• MetaDefender Cloud — бесплатно сканируйте файл, хэш, IP-адрес, URL-адрес или доменный адрес на наличие вредоносных программ.
• Noriben — использует Sysinternals Procmon для сбора информации о вредоносных программах в изолированной среде.
• PacketTotal — PacketTotal — это онлайн-движок для анализа файлов .pcap и визуализации сетевого трафика внутри них.
• sandboxapi — библиотека Python для создания интеграций с несколькими изолированными программными средами с открытым исходным кодом и коммерческими вредоносными программами.
• SEE — Sandboxed Execution Environment (SEE) — это платформа для построения автоматизации тестирования в защищенных средах.
• Hybrid Analysis — онлайн-инструмент для анализа вредоносного ПО на базе VxSandbox (имеет API).
• VirusTotal — бесплатный онлайн-анализ образцов вредоносных программ и URL-адресов
• InQuest Deep File Inspection — загружайте распространенные вредоносные программы для глубокой проверки файлов и эвристического анализа.

• Visualize_Logs — библиотека визуализации с открытым исходным кодом и инструменты командной строки для журналов. (Cuckoo, Procmon, и.т.д)

• Список Зельцера — бесплатные автоматизированные песочницы и сервисы, составленные Ленни Зельцером.
• ProcDot — набор графических инструментов для анализа вредоносных программ.

Инструменты анализа подозрительных документов на наличие вредоносного кода (Shellcode, VBA, JS и.т.д)

• PDF Tools — pdfid, pdf-parser и многое другое от Didier Stevens.
• PDF X-Ray Lite — инструмент для анализа PDF, бесплатная версия PDF X-RAY.
• peepdf — инструмент на Python для изучения потенциально вредоносных PDF-файлов (парсинг объектов, потоков, декодирование декомпрессирование и.т.д).
• AnalyzePDF — инструмент для анализа PDF-файлов и попытки определить, являются ли они вредоносными.
• Pdf-parser.py — аналогичная peepdf утилита, для анализа pdf;
• malpdfobj — отобразить вредоносные PDF-файлы в представление JSON.
• Origami PDF — инструмент для анализа вредоносных PDF-файлов и многого другого.
• PDF Examiner — Анализ подозрительных файлов PDF.
• olevba — скрипт для разбора документов OLE и OpenXML и извлечения полезной информации.
• OfficeMalScanner — Сканирует вредоносные следы в документах MS Office.
• box-js — инструмент для изучения вредоносных программ JavaScript с поддержкой JScript/WScript и эмуляцией ActiveX.
• JS Beautifier — распаковка и деобфускация JavaScript.
• Spidermonkey — движок JavaScript от Mozilla для отладки вредоносного JS.
• box-js — инструмент для изучения вредоносных программ JavaScript с поддержкой JScript/WScript и эмуляцией ActiveX.
• diStorm — дизассемблер для анализа вредоносного шеллкода.
• libemu — библиотека и инструменты для эмуляции шеллкода x86.

Инструменты анализа вредоносной активности в сетевом трафике

• FakeNet-NG — инструмент динамического сетевого анализа следующего поколения (хорошее описание в книге «Вскрытие покажет»).
• INetSim — эмуляция сетевых служб, полезная при создании лаборатории вредоносных программ (хорошее описание в книге «Вскрытие покажет»).
• ApateDNS — подделывает DNS-ответы для IP-адресов, которые относятся к определенному пользователю. Позволяет отслеживать запросы вредоносного ПО(хорошее описание в книге «Вскрытие покажет»).
• Fiddler — перехватывающий веб-прокси, предназначенный для «веб-отладки».
• Bro — анализатор протоколов, работающий в невероятных масштабах; как файловые, так и сетевые протоколы.
• BroYara — Используйте правила Yara от Bro.
• Chopshop — анализ структуры и декодирование протоколов.
• HTTPReplay — библиотека для разбора и чтения файлов PCAP, включая сессии TLS с использованием ключей TLS (используется в песочнице Cuckoo).
• Malcolm — мощный, легко развертываемый набор инструментов для анализа сетевого трафика с целью получения артефактов (файлы PCAP) и журналов Zeek.
• mitmproxy — позволяет перехватывать сетевой трафик «на лету».
• NetworkMiner — инструмент для судебного анализа сети с бесплатной версией (широко используется в DFIR).
• ngrep — поиск по сетевому трафику, аналог grep в linux.
• Tcpdump — сбор сетевого трафика.
• tcpxtract — Извлечение файлов из сетевого трафика.
• Wireshark — инструмент для анализа сетевого трафика.

Анализ исполняемых файлов

• PEBear — Превосходный, бесплатный инструмент для анализа PE 32/64 файлов, получения handles.
• CFF Explorer
• Cerbero Profiler // Lite PE Insider
• Detect It Easy
• PeStudio
• PEiD
• dnSpy
• PPEE
• MachoView
• nm - View Symbols
• file - File information
• codesign - Code signing information usage: codesign -dvvv filename

Анализа байткода

• Bytecode Viewer
• Bytecode Visualizer
• JPEXS Flash Decompiler

Дизассемблеры/декомпиляторы

• Ghidra
• IDA Pro
• Binary Ninja
• JEB
• Radare
• Hopper
• Capstone
• objdump
• fREedom
• Retdec
• Snowman

Скрипты для IDA

• IDA Python Src
• IDC Functions Doc
• Using IDAPython to Make your Life Easier
• Introduction to IDA Python
• The Beginner’s Guide to IDA Python
• IDA Plugin Contest
• onehawt IDA Plugin List
• pefile Python Libray
• ghidra ninja

Анализ APK

• Android Developer Studio
• APKtool
• dex2jar
• Bytecode Viewer
• IDA Pro

Анализ IPA

• frida-ios-dump
• DVIA-v2

Mac Decrypt

• Cerbero Profiler
• AppEncryptor
• Class-Dump
• readmem

Ресурсы для практики

CTF, Challenges and git repos для практики

• Crackmes.de
• OSX Crackmes
• ESET Challenges
• Flare-on Challenges
• Github CTF Archives
• Reverse Engineering Challenges
• xorpd Advanced Assembly Exercises
• Virusshare.com
• Contagio
• Malware-Traffic-Analysis
• Malshare
• Malware Blacklist
• malwr.com
• vxvault
• jstrosch/malware-samples
• ytisf/theZoo
• MalwareBazaar
• volatility/wiki/Memory-Samples
• Dump-GUY/Malware-analysis-and-Reverse-engineering

Полезные книги

• «Вскрытие покажет» М. Сикорски, Э.Хонинг
• The Rootkit Arsenal
• «Руткиты и буткиты современный реверс вредоносного ПО и угрозы следующего поколения»
• The IDA Pro Book
• Reverse Engineering for Beginners
• Assembly Language for Intel-Based Computers (5th Edition)
• Practical Reverse Engineering
• Reversing: Secrets of Reverse Engineering
• Malware Analyst’s Cookbook
• Gray Hat Hacking
• The Art of Memory Forensics
• Hacking: The Art of Exploitation
• Fuzzing for Software Security
• Art of Software Security Assessment
• The Antivirus Hacker’s Handbook
• Windows Internals Part 1 Part 2
• Inside Windows Debugging
• iOS Reverse Engineering
• The Shellcoders Handbook
• A Guide to Kernel Exploitation
• Agner’s software optimization resources
• Learning Malware Analysis
• Binary Analysis
• Serious Cryptography