Oletools 服务

此Assemblyline服务使用Python库py-oletools和hachoir提取元数据和网络信息，并报告Microsoft OLE和XML文档中的异常。

服务详情

配置参数（由管理员设置）：

• MACRO_SCORE_MAX_FILE_SIZE: 如果宏部分的大小大于此值，则结果中将不标记该宏部分。（默认值：5 * 1024**2）
• MACRO_SCORE_MIN_ALERT: Chains.json包含常见的英文三字母组。我们通过这些三字母组在代码中出现的频率对宏进行评分（跳过一些常见关键字）。低于此配置值的分数表示文本更随机，而随机变量/函数名在恶意宏中很常见。（默认值：0.6）
• METADATA_SIZE_TO_EXTRACT: 如果OLE元数据大于此大小（以字节为单位），服务将把元数据内容提取为新文件（默认值：500）
• IOC_PATTERN_SAFELIST: 如果IOC包含列表中的某个字符串，Oletools将忽略它，除非在深度扫描模式下。（默认值：[]）
• IOC_EXACT_SAFELIST: 如果IOC是列表中的某个字符串，Oletools将忽略它，除非在深度扫描模式下。（默认值：[]）

执行

Oletools服务将为每个文件报告以下存在的信息：

1. 独立宏：（AL TAG: technique.macro）

   • 每个部分的SHA256。（AL TAG: file.ole.macro.sha256）
   • 可疑字符串。（AL TAG: file.ole.macro.suspicious_strings）
   • 网络指标。

2. 嵌入式文档流和OLE信息：

   • 名称和元数据（作者、公司、最后保存时间等）。 AL标签：

       file.ole.summary.title,
       file.ole.summary.subject,
       file.ole.summary.author,
       file.ole.summary.comment,
       file.ole.summary.last_saved_by,
       file.ole.summary.last_printed,
       file.ole.summary.create_time,
       file.ole.summary.last_saved_time,
       file.ole.summary.manager,
       file.ole.summary.company,
       file.ole.summary.codepage
     

   • CLSID（标记已知恶意值）。（AL TAG: file.ole.clsid）

3. 可疑XML/OLE流特征：

   • FrankenStrings IOC模式模块结果。
   • Adobe Flash内容。
   • Base64编码内容。
   • 十六进制编码内容。

4. MSO DDE链接（AL TAG: file.ole.dde_link）

5. 可能的VBA stomping。当宏转储和pcode转储之间的可疑内容存在差异时确定。

6. 服务将提取：

   • 所有宏内容。
   • 所有pcode内容。
   • 可疑OLE流和XML。
   • DDE链接

7. 如果在深度扫描模式下，将提取所有OLE流，并使用hachoir进行深度对象分析。

镜像变体和标签

Assemblyline服务基于Assemblyline服务基础镜像构建，该基础镜像基于Debian 11，包含Python 3.11。

Assemblyline服务使用以下标签定义：

运行此服务

这是一个Assemblyline服务，设计用于Assemblyline框架中运行。

如果要在本地测试此服务，可以直接从shell运行Docker镜像：

docker run \
    --name Oletools \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-oletools

要将此服务添加到Assemblyline部署，请遵循指南。

文档

Assemblyline的通用文档可在以下地址找到：[***]