cccs/assemblyline-service-overpower

Overpower服务

对PowerShell文件进行反混淆、特征分析和运行处理。

服务详情

使用经过修改的开源工具对PowerShell文件进行反混淆和评分，例如：

• https://github.com/R3MRUM/PSDecode%EF%BC%9A%E7%94%A8%E4%BA%8E%E5%8F%8D%E6%B7%B7%E6%B7%86%E7%BC%96%E7%A0%81PowerShell%E8%84%9A%E6%9C%AC%E7%9A%84PowerShell%E8%84%9A%E6%9C%AC
• https://github.com/pan-unit42/public_tools/tree/master/powershellprofiler%EF%BC%9APalo Alto Networks Unit42的工具，通过反混淆和规范化内容对PowerShell脚本进行静态分析，然后针对行为指标进行特征分析。

提交参数

• tool_timeout：允许工具单独运行的时间长度。
• add_supplementary：如果希望将补充文件添加到结果中，请选择此参数。
  PSDecode参数：
• fake_web_download：用于指示是否应模拟下载文件到磁盘的Web请求的标志。

镜像变体和标签

Assemblyline服务基于https://hub.docker.com/r/cccs/assemblyline-v4-service-base%E6%9E%84%E5%BB%BA%EF%BC%8C%E8%AF%A5%E5%9F%BA%E7%A1%80%E9%95%9C%E5%83%8F%E5%9F%BA%E4%BA%8EDebian 11，包含Python 3.11。

Assemblyline服务使用以下标签定义：

运行此服务

这是一个Assemblyline服务，设计用于在Assemblyline框架中运行。

如果要在本地测试此服务，可以直接从shell运行Docker镜像：

bash
docker run \
    --name Overpower \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-overpower

要将此服务添加到您的Assemblyline部署中，请遵循https://cybercentrecanada.github.io/assemblyline4_docs/developer_manual/services/run_your_service/#add-the-container-to-your-deployment%E3%80%82

文档

Assemblyline通用文档可在以下地址获取：https://cybercentrecanada.github.io/assemblyline4_docs/