cccs/assemblyline-service-vipermonkey

ViperMonkey Service

镜像概述和主要用途

ViperMonkey Service是Assemblyline框架下的服务，用于分析和模拟Microsoft Office文件中包含的VBA宏。该服务基于Decalage的ViperMonkey工具，能够提取宏中的关键操作、函数调用、网络指标等信息，支持***代码分析场景。

核心功能和特性

服务详情

本服务使用Decalage的ViperMonkey（https://github.com/decalage2/ViperMonkey%EF%BC%89%E8%BF%9B%E8%A1%8C%E5%88%86%E6%9E%90%E5%92%8C%E6%A8%A1%E6%8B%9F%EF%BC%8C%E4%B8%BB%E8%A6%81%E6%8A%A5%E5%91%8A%E4%BB%A5%E4%B8%8B%E5%86%85%E5%AE%B9%EF%BC%9A

1. 操作与入口点：发现所有操作（包括入口点），支持解码base64编码命令。
2. VBA内置函数：识别宏中使用的VBA内置函数。
3. 网络指标检测：提取检测到的URL、URI和IP地址。
4. 标签输出：生成以下标签：
   • network.static.domain
   • network.static.ip
   • network.static.uri
   • network.port
   • technique.macro

安全特性

ViperMonkey可能通过eval()加速模拟过程，因此该服务需在沙箱环境中运行。Assemblyline默认对非特权服务提供沙箱环境，禁止以特权模式运行此服务。

镜像变体和标签

该服务基于https://hub.docker.com/r/cccs/assemblyline-v4-service-base%E6%9E%84%E5%BB%BA%EF%BC%8C%E5%BA%95%E5%B1%82%E4%B8%BADebian 11系统，内置Python 3.11。支持以下标签类型：

使用方法和配置说明

运行环境

此服务为Assemblyline框架专用组件，需作为框架一部分运行。

本地测试

如需本地测试，可直接运行Docker镜像：

bash
docker run \
    --name ViperMonkey \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-vipermonkey

集成到Assemblyline部署

添加此服务到Assemblyline部署，请参考https://cybercentrecanada.github.io/assemblyline4_docs/developer_manual/services/run_your_service/#add-the-container-to-your-deployment%E3%80%82

文档参考

Assemblyline通用文档：https://cybercentrecanada.github.io/assemblyline4_docs/