cccs/assemblyline-service-frankenstrings

FrankenStrings服务

此服务使用模式匹配、简单编码解码器和脚本反混淆器执行文件和IOC提取。

BALBUZARD：BSD 2-Clause许可证，参见balbuzard代码文件顶部

服务详情

1. 字符串提取：

• ASCII和unicode字符串IOC检查（参见patterns.py）
• Balbuzard的bb*** level 1（深度扫描时为level 2）XOR转换模块。仅匹配特定IOC（参见patterns.py、bb***.py）
• Base64字符串提取

2. 文件提取：

• Balbuzard的bb*** level 1（深度扫描时为level 2）XOR转换模块（仅搜索PE文件）
• 针对感兴趣文件类型的Base64模块搜索（参见frankenstrings.py）
• 嵌入式PE文件提取
• Unicode、Hex、Ascii-Hex提取模块（用于可能的shellcode）

当不处于深度扫描模式时，此AL服务将根据提交文件的大小跳过检测模块（以防止服务积压和超时）。默认值故意设置为较小尺寸。可根据AL实例的流量/硬件情况，在服务配置中轻松更改过滤器。

服务配置

• max_size：此服务接受的提交文件最大大小
• max_length：字符串最大长度。用于基本ASCII和UNICODE模块
• st_max_size：字符串列表最大大小。由基本ASCII和UNICODE模块结果生成的列表，将决定patterns.py是否仅评估网络IOC模式
• bb_max_size：运行bb***模块的提交文件最大大小

结果输出

1. 静态字符串（ASCII、UNICODE、BASE64）：

• 标记匹配感兴趣IOC模式的字符串
• 解码的BASE64。提取超过200字节的内容，否则合并所有解码内容并提取到单个文本文件中

2. 嵌入式PE文件：

• 提取文件中嵌入的PE文件
• 提取文件中嵌入的反向PE文件

3. ASCII Hex字符串：

• 成功解码的ASCII十六进制数据内容提取（超过500字节的任何数据）
• 为所有成功解码的数据标记IOC模式匹配
• 自定义暴力XOR模块后标记URI模式匹配（参见bb***.py中的添加模块）

4. BB*** XOR字符串：

• 标记所有匹配感兴趣IOC模式的字符串
• 提取解码的XOR加密PE文件

镜像变体和标签

Assemblyline服务基于https://hub.docker.com/r/cccs/assemblyline-v4-service-base%E6%9E%84%E5%BB%BA%EF%BC%8C%E8%AF%A5%E5%9F%BA%E7%A1%80%E9%95%9C%E5%83%8F%E5%9F%BA%E4%BA%8EDebian 11并带有Python 3.11。

Assemblyline服务使用以下标签定义：

运行此服务

这是一个Assemblyline服务，设计用于在Assemblyline框架中运行。

如果要在本地测试此服务，可以直接从shell运行Docker镜像：

bash
docker run \
    --name FrankenStrings \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-frankenstrings

要将此服务添加到Assemblyline部署，请遵循此https://cybercentrecanada.github.io/assemblyline4_docs/developer_manual/services/run_your_service/#add-the-container-to-your-deployment%E3%80%82

文档

Assemblyline通用文档可在以下位置找到：https://cybercentrecanada.github.io/assemblyline4_docs/