搜索

[9495] 2015-11-02_构建识别恶意软件Autopsypythonyara扫描模块

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2015-11-02_构建识别恶意软件Autopsypythonyara扫描模块 构 建 识 别 恶 意 软 件 A u t o p s y   p y t h o n   y a r a 扫 描 模 块 F r e e B u f   2 0 1 5 - 1 1 - 0 2 Y A R A 是 一 款 用 于 识 别 恶 意 软 件 的 优 秀 工 具 ， 你 可 以 自 己 编 写 规 则 ， 也 可 以 借 助 预 制 的 规 则 是 一 款 用 于 识 别 恶 意 软 件 的 优 秀 工 具 ， 你 可 以 自 己 编 写 规 则 ， 也 可 以 借 助 预 制 的 规 则 y a r a r u l e s 。 我 需 要 一 个 快 。 我 需 要 一 个 快 速 的 方 法 用 以 搜 索 一 些 磁 盘 映 像 ， 因 此 是 时 候 构 建 一 个 速 的 方 法 用 以 搜 索 一 些 磁 盘 映 像 ， 因 此 是 时 候 构 建 一 个 A u t o p s y   p y t h o n   y a r a 扫 描 模 块 了 。 扫 描 模 块 了 。 1 . 前 期 准 备 前 期 准 备 需 要 删 除 A u t o p s y   P y t h o n   M o d u l e 文 件 夹 下 的 Y A R A 可 执 行 文 件 ， 同 时 我 创 建 了 一 个 集 中 的 Y A R A 规 则 文 件 ， 包 括 " r u l e s - m a s t e r a n t i d e b u g . y a r " 语 句 。 如 果 你 想 使 用 其 他 的 存 储 地 址 ， 可 以 在 代 码 的 这 两 行 进 行 修 改 。 2 . 创 建 创 建 Y A R A   S c a n 模 块 模 块 Y A R A   S c a n 的 目 标 是 啥 ？ 本 例 中 % . d o c 用 来 搜 索 w o r d 文 档 ， 这 里 没 有 相 关 路 径 ， 因 此 我 们 将 其 设 置 值 为 % 。
如 果 你 是 想 在 一 个 临 时 文 件 夹 中 搜 寻 可 执 行 文 件 ， 你 可 以 像 下 面 例 子 中 这 样 修 改 。 通 过 H a s h 分 析 ， 所 有 文 件 都 会 被 标 记 为 K N O W N ， 因 此 就 能 从 Y A R A   S c a n 中 排 除 。 f i l e s   =   f i l e M a n a g e r . f i n d F i l e s ( d a t a S o u r c e ,   “ % . e x e ” ,   “ % t e m p % ” ) 这 两 行 可 以 使 用 # 注 释 掉 ， 这 第 一 行 是 从 临 时 文 件 夹 输 出 文 件 ， 第 二 行 是 运 行 Y A R A   s c a n 对 文 件 进 行 扫 描 ， W i n d o w s   D e f e n d e r 同 时 也 会 对 该 文 件 进 行 检 测 。 该 模 块 每 次 运 行 都 会 覆 盖 Y A R A . t x t ， 该 文 件 位 于 R e p o r t s 文 件 夹 中 。 你 需 要 根 据 每 次 搜 索 请 求 的 改 变 更 新 该 文 件 的 名 称 。 一 旦 Y A R A   S c a n 模 块 完 成 ， A u t o p s y 会 弹 出 一 个 显 示 文 件 扫 描 数 量 的 对 话 框 。 在 R e p o r t s 文 件 夹 下 ， 生 成 的 文 本 文 档 会 进 行 关 联 ， 所 以 你 只 需 要 双 击 就 可 以 审 查 结 果 了 。 第 一 行 为 Y A R A 的 结 果 并 显 示 文 件 位 置 。
希 望 本 文 对 你 搜 集 数 据 能 够 有 一 定 的 帮 助 ！ *   参 考 来 源 ： 4 n 6 i r ， 编 译 / F B 小 编 鸢 尾 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理