2021年10月14日木曜日

YARA #2 YarGen

 YarGenをのぞいてみた

今回は作りをちょっとみてみました。

 

利用したサンプルは横浜国大様から提供していただいたIoT Malwreのデータセット

作りはこんな感じでシンプルです

  1. 対象のデータから文字列情報を取得
  2. オペコードを取得(PEのみ)
  3. 収集した情報からゴミを取り除く
  4. YARAルールに変換 
まずポイントになるのは１、２の情報収集。今回の対象はELFなので２は除外ということで１の部分を変更してみた。


文字列情報をIoT Malwareが侵入後に行う処理に注目して収集するようにしてみた。

オリジナルのソースでの結果

このデータが下記のようにかなりスッキリした。

kouichirou_okada@rainforest.tokyo
時刻:
ラベル: , ,

0 件のコメント:

コメントを投稿

登録: コメントの投稿 (Atom)

Ivanti Connect Secure/Ivanti Policy Secure

Ivanti Connect Secure/Ivanti Policy Secureをcensysで検索してみた。 https://www.jpcert.or.jp/at/2024/at240002.html?fbclid=IwAR18ioJ4JciNYj8aD1odGseAnW...

  • Ivanti Connect Secure/Ivanti Policy Secure
    Ivanti Connect Secure/Ivanti Policy Secureをcensysで検索してみた。 https://www.jpcert.or.jp/at/2024/at240002.html?fbclid=IwAR18ioJ4JciNYj8aD1odGseAnW...
  • クローラでsnapshot
    運用しているハニーポットに侵入してきたり、マルウエダウンロドサイトだったり、Miraiの特徴があるIPアドレスをcensys searchでopen portを収集して、クローラでsnapshotを取得したらこんな画面が沢山収集できました。webで公開する準備してま〜す。 #os...
  • 動的解析
     IDS(Suricata)で検知したDNS通信の内容 https://api.krns.jp/sandbox/domain_malware ドメインとは思えない通信をしているマルウエアもいるのですが、これってBUG? https://www.krns.jp/ https://w...