ConfigExtractor服务

服务概述

ConfigExtractor服务是Assemblyline框架的一部分，用于运行解析器以提取恶意软件配置数据。该服务通过调用ConfigExtractor Python库（已在PyPI发布），针对多种恶意软件家族提取配置信息（如IP、URL和域名）。

核心功能与特性

恶意软件配置提取

基于ConfigExtractor Python库，支持解析器目录与该库兼容的所有场景，能够有效提取恶意软件的关键配置参数。

支持的解析框架

官方支持以下框架：

• MWCP
• CAPE w/ MACO output
• MACO

更新器配置

来源管理（Sources）

更新器需匹配包含解析器的目录，例如CAPE来源的匹配模式为^\/tmp\/w+\/CAPE\/$，仅针对根目录中的解析器。

来源配置参数

可通过JSON配置设置提取器的部署状态：

{
    // 设置提取器的部署状态
    "deployment_status": {
        // 更新时将列表中的提取器类设为NOISY
        "NOISY": ["extractor_class", ...],
        // 更新时将列表中的提取器类设为DISABLED
        "DISABLED": ["broken_extractor_class", ...]
    }
}

持久化（Persistence）

更新器依赖存储卷维持持久化，需附加存储卷以存储源集合，而非依赖Assemblyline的数据存储。

Python包管理

更新器会扫描解析器根目录下的requirements.txt文件，并安装Python包至指定目录，供服务实例使用。若需代理安装包，可在容器配置中添加环境变量PIP_PROXY。

镜像变体与标签

基础镜像信息

基于Assemblyline服务基础镜像构建，该基础镜像基于Debian 11，包含Python 3.11。

标签类型说明

使用方法

运行环境要求

该服务需作为Assemblyline框架的一部分运行，依赖框架提供的基础设施。

本地测试部署

若需本地测试，可直接运行Docker镜像：

docker run \
    --name Configextractor \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-configextractor

添加到Assemblyline部署

如需将服务添加到现有Assemblyline部署，请参考官方指南。

参考文档

Assemblyline通用文档：[***]