florentino

佛羅倫薩;快速靜態文件分析框架

故事

佛羅倫薩以小說戰士的名字命名。

Flarentino： "I'd wear a fedora but they haven't invented them yet"

作為香水之屋的唯一繼承人，佛羅倫Tino的浪漫冒險與他的豪華球一樣眾所周知。

佛羅倫薩： "Ah... relationships are such a bother"

介紹

Florentino是一個跨平台文件分析框架。有助於從Malwares和未知文件分析中提取靜態資源。

他可以幫助惡意軟件分析師和安全研究人員快速瀏覽未知文件。不過，他不能獨自贏得一場大戰。這就是為什麼他呼籲朋友幫助壞人的原因。因此他打電話給這些朋友（學分）：

• 戈蘭
• 死
• iocextract
• 病毒
• 牙線
• 字符串

沒有他們，這是一場從一開始就失去的戰爭。

動機

每當我們想分析一個未知文件時，都有幾個步驟幾乎是相同的佛羅倫TINO旨在自動化這些無聊步驟的步驟，以便分析師可以通過手動和動態分析更快地移動。

佛羅倫薩： "Flowers, women – I desire all that is beautiful."

特徵

弗洛倫蒂諾（Florentino）是在Go中寫的，這很快！您可以在鏈中的任何其他工具之前運行它，以掌握目標文件。在大多數情況下，您需要確定文件是否是惡意的一切！

1-文件檢測引擎

多虧了Die，Florentino可以檢測到數百種文件類型。

 Number of com signatures: 200
Number of Text signatures: 14
Number of com signatures: 3
Number of MSDOS signatures: 306
Number of PE/PE+ signatures: 525
Number of DS signatures: 19
Number of EP signatures: 3
Number of ELF/ELF64 signatures: 16
Number of MACH/MACH64 signatures: 8
Total signatures: 1117 

除了文件檢測外，還執行了熵和包裝器檢測。

2-掃描引擎

Florentino可以使用各種來源來分析文件。

• Virustotal：我們檢查現有報告
• 弦樂和國際奧委會掃描：佛羅倫薩接受；此外，它將從二進製文件中提取，掃描並可能從二進製文件中刪除字符串
• 二進制掃描：Florentino可以與PE X86/X64，Macho X86/X64，Elf X86/X64文件一起使用，它將獲得導入的符號和庫

3-包裝工檢測和解開包裝

• 目前僅支持PE X86文件
• 拆開引擎：UNPAC.ME

4-報告

• 所有報告都存儲在 /數據目錄中的文本文件

請注意，Florentino並不是一個逆轉套件，其唯一的目的是固定第一個分析Florentino是模塊化的，易於使用自己的工具擴展。

Flarentino： Fairest ladies, my lips are like whatever I finish this later ...

版本

1.0.1-alpha

安裝和用法

Flarentino： "You have bad form my friend."

在/docs/readme.md上查看文檔

行動時間：佛羅倫薩vs Ryuk勒索軟件

讓我們來對付弗洛倫蒂諾（Florentino），以稱為ryuk的數百萬美元勒索軟件。

Florentino -f 8d3f68b16f0710f858d8c1d2c699260e6f43161a5510abb0e7ba567bd7.exe

大約一分鐘後，我們檢查 /數據文件夾

{
    "detects" : [
        {
            "filetype" : " PE+(64) " ,
            "name" : " Microsoft Visual C/C++(2015 v.14.0)[-] " ,
            "type" : " compiler "
        },
        {
            "filetype" : " PE+(64) " ,
            "name" : " Microsoft Linker(14.0, Visual Studio 2015 14.0*)[EXE64] " ,
            "type" : " linker "
        }
    ],
    "entropy" : " 6.07306 " ,
    "filename" : " /malwares/8d3f68b16f0710f858d8c1d2c699260e6f43161a5510abb0e7ba567bd7.exe "
}

 /C REG ADD "HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun" /v "svchos" /t REG_SZ /d " 

 Gentlemen!
Your business is at serious risk. BLAH BLAH BLAH
15RLWdVnY5n1n7mTvU1zjg67wt86dhYqNj
.....

• 現在不到3分鐘，我們已經知道了它的勒索軟件，它沒有包裝，我們解密了第一層混淆的字符串，甚至已經提取了持久方法。
• 請考慮這還沒有準備好生產，發布的重點是向您展示如何獲得類似的結果。代碼可以大大改進。

如何貢獻

佛羅倫薩： "HaHa, A wonderful day for a duel among gentlemen."

• 添加一個模塊或修復一些東西，然後拉請請求。
• 無休止的改進可能性：
  • 添加Web UI
  • 將其連接到關係/NOSQL數據庫
  • 將每個二進制的細節解析
  • 將R2整合為提供分配的
  • ...
• 與您認為可以使用它的人分享。
• 做額外的工作並與社區分享您的發現♥

了解更多

惡意軟件反擊特工特斯拉的故事

很棒的惡意軟件分析

令人震驚的逆轉

執照

該項目是根據wtfpl許可證獲得許可的。