DrSemu: herramienta de detección y clasificación de malware basada en comportamiento dinámico

Herramienta de detección y clasificación de malware Dr.Semu basada en comportamiento dinámico

Dr.Semu ejecuta ejecutables en un entorno aislado que monitorea el comportamiento de un proceso y, según las  reglas de Dr.Semu creadas por usted o la comunidad, detecta si el proceso es malicioso o no. 

Con Dr.Semu  puede crear reglas para detectar malware en función del comportamiento dinámico de un proceso.

Aislamiento por redireccionamiento

Todo sucede desde el modo de usuario. Sistema de archivos proyectado de Windows  (ProjFS)se usa para proporcionar un   sistema de archivos virtual . Para la redirección del Registro, clona todas las colmenas del Registro a una nueva ubicación y redirige todos los accesos del Registro.

Consulte el código fuente para obtener más información sobre otras redirecciones (aislamiento de procesos / objetos, etc.).

Supervisión

Dr.Semu  usa DynamoRIO(Dynamic Instrumentation Tool Platform) para interceptar un hilo cuando está a punto de cruzar la línea del núcleo del usuario. Tiene el mismo efecto que enganchar  SSDT  pero desde el modo de usuario y sin enganchar nada.

En esta fase, Dr.Semu  produce un archivo JSON, que contiene información de la intercepción.

Detección

Después de finalizar el proceso, según las  reglas de Dr.Semu , recibimos si el ejecutable se detecta como malware o no.

Dr.Semu Reglas / Detecciones

Dr.Semu reglas

Están escritos en Python  o  LUA (ubicados bajo  dr_rules ) y usan información dinámica de la intercepción e información estática sobre la muestra. Es trivial agregar soporte a otros idiomas.

Ejemplo ( Python ):  https://gist.github.com/secrary/ac89321b8a7bde998a6e3139be49eb72

Ejemplo (Lua):  https://gist.github.com/secrary/e16daf698d466136229dc417d7dbcfa3

Uso

• Use PowerShell  para habilitar  ProjFS  en una ventana elevada de  PowerShell  :

Enable-WindowsOptionalFeature -Online -FeatureName Client-ProjFS -NoRestart

• Descargue y extraiga un archivo zip de la  página de lanzamientos
• Descargue DynamoRIO y extráigalo en la   carpeta DrSemu y cambie el nombre a dynamorio
• Instalar  Python 3 x64

DrSemu.exe –target file_path

DrSemu.exe –directorio de archivos de destino

MANIFESTACIÓN

Copyright (C) 2019 secrary  Telegram:  https://t.me/hackingteamelrinconoscuro