REMnux is een open source Ubuntu-gebaseerde distributie van Linux speciaal ontworpen voor malware analisten die op zoek zijn naar een gratis alternatief besturingssysteem Microsoft Windows, om voor hen te reverse-engineering van kwaadaardige software.
Kenmerken in een oogopslag
De belangrijkste kenmerken zijn de mogelijkheid om webbrowser malware te onderzoeken, het beheer van het netwerk van interacties, decoderen en extract artefacten, onderzoeken document dossiers, onderzoeken Linux malware, statisch PE-bestanden te onderzoeken, te onderzoeken bestand eigenschappen en inhoud, proces meerdere monsters, te onderzoeken geheugen snapshots alsmede bewerken en weergeven van een groot aantal bestanden.
Gedistribueerd als een Live DVD en virtual appliance archief
Het besturingssysteem kan worden gedownload als een Live image DVD ISO die zowel 32-bit en 64-bit hardware platformen ondersteunt en moet worden geschreven op DVD-schijven of USB flash drives van 2 GB of hogere capaciteit om het te starten vanaf BIOS van een PC, en een virtuele toepassing archief (OVA) voor VirtualBox en VMware virtualisatiesoftware.
Het beschikt over een standaard bootloader die gevonden kunnen worden op een breed scala van Linux distributies gebaseerd op Ubuntu, zodat de gebruiker de live omgeving met de standaard opties of in de veilige grafische modus door het forceren van de VESA-framebuffer starten, het uitvoeren van een systeemgeheugen (RAM) test, en start een bestaand besturingssysteem van de eerste schijf.
Minimal, snelle en productieve desktopomgeving aangedreven door LXDE
Standaard wordt de Live CD ontworpen om een terminal emulator van de get-go te openen. Het maakt gebruik van de Lightweight X11 Desktop Environment (LXDE) met een donkere kunstwerken en een enkel paneel aan de onderkant van het scherm, waar de gebruiker toegang tot de applicaties of interactie met lopende programma's.
Onder de vooraf geïnstalleerde apps, kunnen wij SciTE teksteditor, wxHexEditor hex-editor, Wireshark netwerkscanner XMind mind mapping tool, SQLite database browser Mozilla Firefox webbrowser, en LXMusic muziekspeler te noemen.
Bottom line
Samenvattend REMnux is zeker niet een Linux-distributie voor de gewone gebruiker. Het is gebaseerd op een oudere, niet-ondersteunde versie van Ubuntu (11.10 - Oneiric Ocelot)., Maar levert een nette verzameling van andere handige functies die zullen helpen malware analisten om kwaadaardige software-engineer reverse
Wat is nieuw in deze release:
- Ik ben opgewonden om de v6 release van de REMnux distro, die helpt analisten onderzoeken van malware met behulp van gratis hulpprogramma's in te kondigen een Linux-omgeving. REMnux v6 werkt de gereedschappen die in de eerdere herzieningen van de distro waren en introduceert een aantal nieuwe. Bovendien voert grote architectonische veranderingen achter de schermen, zodat REMnux gebruikers om toekomstige updates gemakkelijk toe te passen zonder dat de volledige REMnux milieu downloaden vanaf nul.
- Krijg REMnux v6:
- De eenvoudigste manier om de nieuwste REMnux verdeling te krijgen is om de virtuele appliance OVA-bestand downloaden vervolgens importeren in uw favoriete applicatie virtualisatie zoals VMware Workstation en VirtualBox. Na het starten van de geïmporteerde virtuele machine, voert u de & quot;-update-remnux volledige & quot; commando om de software te updaten. Voor gedetailleerde instructies, zie REMnux installatie-instructies.
- Als alternatief kunt u de REMnux distro toe te voegen aan een bestaande fysieke of virtuele systeem dat het runnen van een compatibele versie van Ubuntu, inclusief SIFT Workstation. U kunt dit doen door het uitvoeren van de REMnux installatie script zoals uitgelegd in de documentatie.
- Na het installeren van REMnux v6, zult u in staat om updates te krijgen door het uitvoeren van de & quot;-update-remnux & quot; commando. Volg REMnux accounts op Twitter, Facebook en Google Plus om meldingen te ontvangen wanneer de malware analyse pakketten worden bijgewerkt of wanneer nieuwe worden toegevoegd aan de toolkit.
- Extra Toegevoegd aan REMnux v6:
- REMnux v6 omvat de volgende instrumenten die geen deel uitmaken van de distributie zijn geweest in eerdere releases.
- pedump, readpe.py: Statisch onderzoeken eigenschappen van een Windows PE-bestand
- VirusTotal-gereedschappen: Interactie met de VirusTotal database vanuit de opdrachtregel
- Nginx: Web-server, die Tiny HTTPD die aanwezig was op REMnux eerder vervangt
- VolDiff: Vergelijk geheugen forensics beelden veranderen met behulp Volatiliteit spot
- artikel Editor: Bewerk IOC Yara, Snort en OpenIOC regels, ter vervanging van zijn voorloper Yara Editor
- Rekall: Geheugen forensics hulpmiddel en het kader
- m2elf: Maak een ELF binaire bestanden van shellcode
- Yara Regels: Handtekeningen voor het spotten van kwaadaardige elementen in bestanden
- OfficeDissector MASTIFF plugins: Onderzoek Microsoft Office XML gebaseerde bestanden met MASTIFF
- Docker: Run toepassingen als geïsoleerde containers op de lokale host
- AndroGuard: Analyze verdachte Android applicaties
- vtTool: Bepaal het model van de malware familie naam door het bevragen van VirusTotal
- oletools, libolecf: Analyseren van Microsoft Office-bestanden OLE2
- tcpflow: Onderzoek netwerkverkeer en snijd PCAP capture bestanden
- passive.py: Voer passieve DNS lookups met de pdns bibliotheek
- CapTipper: Onderzoek netwerkverkeer en snijd PCAP capture bestanden
- oledump: Onderzoek verdachte Microsoft Office-bestanden
- CFR: Decompile verdachte Java-class-bestanden
- -update-remnux: Werk de distro, het upgraden van de software en het installeren van nieuw toegevoegde gereedschappen
- REMnux v6 bevat ook de volgende bibliotheken, die software-ontwikkelaars kunnen gebruiken voor het bouwen van nieuwe malware analyse-instrumenten en taken.
- IOC Schrijver: Python bibliotheek voor het maken en bewerken OpenIOC objecten
- Cybox: Python bibliotheek voor parsing, manipuleren, en het genereren van CybOX inhoud
- diStorm3, Capstone: Python bibliotheken voor het demonteren van binaire bestanden
- pylibemu: Python bibliotheek voor toegang libemu shellcode emulatie functionaliteit
- Yara Library: Python bibliotheek om malware samples identificeren en classificeren
- olefile: Python bibliotheek om te lezen / schrijven van Microsoft Office-bestanden OLE2
- PyV8: Python wrapper bibliotheek voor de V8 JavaScript-engine
- pyssdeep: Python wrapper bibliotheek voor de ssdeep fuzzy hashing gereedschap
- pyexiftool: Python wrapper bibliotheek voor de ExifTool
- OfficeDissector: Python bibliotheek om verdachte Microsoft Office XML gebaseerde bestanden
- pdns: Python bibliotheek voor het uitvoeren van passieve DNS lookups
- Javassist: Java-bibliotheek die helpt met het onderzoeken van Java bytecode
- Voor een overzicht van de malware analyse utilities beschikbaar op REMnux, zie de documentatie site, die een spreadsheet en een mindmap van de instrumenten bevat en biedt enkele gebruikstips.
- Bijgewerkt REMnux Architectuur:
- Een belangrijk doel van de v6 release van REMnux, voorbij upgrading en uitbreiding van de tool set, is het fundament van de distro's te moderniseren met behoud van de vertrouwde look en feel. Mensen die bekend zijn met ouder REMnux releases moeten kunnen milieuwetgeving te verzekeren zonder hun gewoontes passen. Het belangrijkste is, kunnen REMnux v6 gebruikers toekomstige updates te ontvangen voor de distro met behulp van de & quot;-update-remnux & quot; script zonder dat het downloaden van een geheel nieuwe virtuele machine om upgrades uit te voeren.
- Om deze doelstellingen te bereiken, REMnux v6 is gebaseerd op Ubuntu 14.04 64-bit. Het is een populaire en stabiel besturingssysteem dat rond voor een tijdje, want het is een lange termijn ondersteuning (LTS) release. Ook REMnux vertrouwt nu zwaar op Debian pakketten gehost in de repository om geschikte updates te vergemakkelijken.
- Als het resultaat, REMnux kan worden op elke nieuwe of bestaande systeem met Ubuntu 14.04 64-bit, ongeacht of het een fysieke of virtuele machine geïnstalleerd. Deze versie is ontworpen om compatibel met SIFT Workstation te zijn, zodat mensen zowel uitkeringen op hetzelfde systeem kunt installeren, als ze dat willen.
Wat is nieuw in versie 5.0:
- Belangrijke updates van bestaande gereedschappen en onderdelen:
- Core-systeem: Upgraded de onderliggende Ubuntu OS componenten en pakketten; verhoogde standaard RAM-geheugen van de virtuele appliance tot 512MB; vervangen door OpenJDK met Oracle Java 7 runtime.
- Geheugen analyse:. Bijgewerkt Volatiliteit naar versie 2.2
- PDF-analyse: geactualiseerd pdfid en pdf-parser, Origami, peepdf
- Web analyse: geactualiseerd SWFTools, V8, libemu, NetworkMiner, Burp Proxy, Wireshark, Firefox en zijn add-ons .
- Andere wijzigingen: geactualiseerd xorsearch, DensityScout, Pyew, passief-dns, ClamAV, capabilities.yara; vervangen FreeMind met XMind
- Nieuwe instrumenten toegevoegd aan REMnux:
- Windows gereedschappen: Geïnstalleerd Wijn; toegevoegde OfficeMalScanner, Malzilla
- XOR-analyse: Toegevoegd NoMoreXOR, brutexor, XORBruteForcer
- PE-file analyse: Toegevoegd PEV, dism-dit, ExeScan, udis86 (udcli), autorule (/ usr / local / autorule), distool
- Andere file analyse: Toegevoegd extract_swf.py, ExifTool, mastiff
- Andere toevoegingen: Toegevoegd hack-functies (/ usr / local / hack-functies), bulk_extractor, ProcDot
Wat is nieuw in versie 3.0:
- REMnux werd herbouwd worden gebaseerd op Ubuntu 11.10 te verbeteren onderhoudbaarheid , met behoud van achterwaartse compatibiliteit waar praktisch.
- De desktop-omgeving op REMnux is gemigreerd naar LXDE te gebruiken voor een betere bruikbaarheid, met behoud van de lichtgewicht aard van de distributie.
- De malware analyse-instrumenten beschikbaar zijn in de eerdere versie van REMnux zijn opgewaardeerd naar de laatste stabiele versie van de nieuwste functies en verbeteringen te bieden. De belangrijkste wijzigingen zijn:
- De volatiliteit Framework 2.0 voor het geheugen forensisch onderzoek met de nieuwste malware en Timeliner modules
- Origami Framework 1.2.3 voor PDF-analyse, met inbegrip van pdfcop, pdfextract, pdfwalker, pdfsh, etc.
- REMnux bevat verschillende malware analyse tools die in eerdere versies van de uitkering niet aanwezig waren, waaronder:
- Netwerk analyse: NetworkMiner, ngrep, pdnstool
- PDF-analyse: PDF X-Ray Lite (pdfxray_lite en swf_mastah), peepdf
- JavaScript-analyse: Chrome JavaScript-engine (d8), js-verfraaien
- Het onderzoeken van bestanden: Hachoir (hachoir-subbestand, hachoir-metadata, hachoir-Urwid), pyew, densityscout, findaes
- Overige: jd-gui, xxxswf.py, Freemind, xpdf, xortool
Reacties niet gevonden