IRFuzz:一款基于YARA规则的文档文件扫描工具

  • A+
所属分类:安全工具

作者Alpha_h4ck FreeBuf 


工具介绍

IRFuzz是一款基于YARA规则的扫描工具,可以帮助广大研究人员扫描文档以及文件。

目前,该工具适用于Linux和macOS操作统平台。

IRFuzz:一款基于YARA规则的文档文件扫描工具

依赖组件

1、Yara:仅使用了该项目最新发布的源代码,我们需要编译并安装它,或者直接通过pip命令来安装yara-python。

2、Yara规则:广大研究人员可以点击【https://github.com/Yara-Rules/rules】下载Yara规则,或导入自己自定义的规则集。

3、Python依赖。

该项目使用了pipenv来管理依赖组件,如需安装依赖组件并激活虚拟环境,请运行下列命令:

$ pipenv install
$ pipenv shell

工具下载

广大研究人员可以使用下列命令将该项目源码克隆至本地:

git clone https://github.com/oxiqa/IRFuzz.git

工具运行

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv

IRFuzz:一款基于YARA规则的文档文件扫描工具

支持的功能

使用inotify扫描新的文件;

如果不支持inotify,则使用轮询方式扫描文件;

支持自定义扩展;

删除模式将删除匹配的文件;

递归目录扫描;

使用yara字符串和ctime枚举匹配的Yara函数;以CSV格式存储扫描结果;

自定义扩展

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .zip,.rar

匹配YARA规则

首先,点击【这里】生成令牌。然后运行下列命令,并在网站中配置匹配警告提醒,这里支持Telegram或电子邮件:

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --extensions .php --token tokenhere

删除匹配的文件

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --delete

轮询(如果不支持inotify)

$ python -m watchd.watch ~/tools/IR/ -y rules/maldocs --csv csvfile.csv --polling

添加—poll选项可以强制使用轮询机制来检测数据目录中的修改,这种方式与操作系统底层机制相比,速度要慢很多,但针对SMB文件系统的话,则只能使用这种方式。

默认支持的扩展

Microsoft Office Word支持的文件格式:

.doc .docm .docx .docx .dot .dotm .dotx .odt

Microsoft Office Excel支持的文件格式:

.ods .xla .xlam .xls .xls .xlsb .xlsm .xlsx .xlsx .xlt .xltm .xltx .xlw

Microsoft Office PowerPoint支持的文件格式:

.pot .potm .potx .ppa .ppam .pps .ppsm .ppsx .ppt .pptm .pptx .pptx .pptx

zipdump.py

IRFuzz使用了zipdump.py来对ZIP压缩文件进行分析。

项目地址

IRFuzz:【https://github.com/oxiqa/IRFuzz


IRFuzz:一款基于YARA规则的文档文件扫描工具

IRFuzz:一款基于YARA规则的文档文件扫描工具

ctf系列文章整理

日志安全系列-安全日志

【干货】流量分析系列文章整理

【干货】超全的 渗透测试系列文章整理

【干货】持续性更新-内网渗透测试系列文章

【干货】android安全系列文章整理

横向渗透的常见方法

干货|应急响应实战checklist(附PDF版本下载)



扫描关注LemonSec

IRFuzz:一款基于YARA规则的文档文件扫描工具


IRFuzz:一款基于YARA规则的文档文件扫描工具

本文始发于微信公众号(LemonSec):IRFuzz:一款基于YARA规则的文档文件扫描工具

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: