![95ba43914a22359c5133ecbf8939566a.jpeg](https://habrastorage.org/r/w1560/getpro/habr/upload_files/95b/a43/914/95ba43914a22359c5133ecbf8939566a.jpeg)
Знай своего врага ― одна из максим, которой руководствуются специалисты по информационной безопасности. Она касается и зловредов. Существуют сотни инструментов, которые помогают исследовать вредоносное ПО. К счастью, многие из них бесплатны и имеют открытый исходный код.
Под катом мы собрали онлайн-сканеры подозрительных файлов, некоторые инструменты для статического и динамического анализа, системы для описания и классификации угроз и, конечно, репозитории с малварью, которую можно исследовать.
[HR=2][/HR]
Это неполный перечень ПО, которое используют исследователи от мира информационной безопасности. Так, для расследования уже совершенных атак, применяют
Для просмотра ссылки необходимо нажать
Вход или Регистрация
.Деление на группы в статье не претендует на звание классификации, оно сделано для удобства чтения и во многом условно. Отдельные инструменты могли попасть сразу в несколько групп и оказались в конкретных разделах благодаря грубому авторскому произволу.
[H2]Онлайн-службы для анализа зловредов[/H2]
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― бесплатная служба для анализа подозрительных файлов и ссылок. В представлении не нуждается.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― детектор зловредов, поддерживающий динамический и статический анализ.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― онлайн-сервис для анализа больших объемов вредоносного ПО с функцией статического анализа образцов.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация— служба анализа вредоносных программ, с динамическим анализом и функцией извлечения индикаторов компрометации (IOC).
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― онлайн-версия известной системы анализа вредоносных программ Cuckoo Sandbox. Предоставляет подробный отчет с описанием поведения файла при выполнении в реалистичной, но изолированной среде далеко в облаке.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― бесплатный сервис, для статического анализа PE-файлов и выявления маркеров нежелательного поведения. ИмеетДля просмотра ссылки необходимо нажать Вход или Регистрация.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― сканирует файлы, домены, IP-адреса и хеши при помощи технологии Content Disarm & Reconstruction.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― сервис для сканирования текстовых документов файлов Microsoft и Open Office, электронных таблиц и презентаций. Основан на базе механизмов Deep File Inspection (DFI).
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― еще одна онлайн-песочница с красивым интерфейсом и дополнительными опциями.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― итальянская служба анализа подозрительных файлов на базе песочницы. Переваривает PE (например, .exe-файлы), документы (doc и PDF), файлы сценариев (типа wscript, Visual Basic) и APK, но мучительно медленно готовит отчеты.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― онлайн-сервис для автоматической распаковки вредоносных программ и извлечения артефактов.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― веб-приложение для извлечения, декодирования и отображения параметров конфигурации распространенных вредоносных программ.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― фреймворк Python RESTful для работы с API онлайн-сервисов для анализа вредоносного ПО.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация— готовый дистрибутив реверс-инжиниринга и анализа вредоносных программ на основе Ubuntu. Предоставляет полный пакет необходимых утилит с открытым исходным кодом и включаетДля просмотра ссылки необходимо нажать Вход или Регистрация, упомянутые ниже.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― Linux-дистрибутив, ориентированный на цифровую криминалистику, анализ вредоносных программ и разведку по открытым источникам.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― настраиваемый дистрибутив для анализа вредоносных программ на базе Windows.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― продвинутая среда для реверс-инжиниринга ПО под Windows, macOS и Linux. Поддерживает широкий набор инструкций процессора и исполняемых форматов, работает и в ручном, и в автоматическом режимах, поддерживает пользовательские сценарии. Некоторые такие заготовки, упрощающие анализ вредоносного ПО, можно найти в репозиторииДля просмотра ссылки необходимо нажать Вход или Регистрация.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― настраиваемый дистрибутив для анализа вредоносных программ на базе Windows 10.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― набор изДля просмотра ссылки необходимо нажать Вход или Регистрациядля реверс-инжиниринга и анализа двоичных файлов и вредоносных программ.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― платформа для автоматизированного статического и динамического анализа и оценки безопасности мобильных приложений.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация— приложение для анализа и декодирования данных без необходимости иметь дело со сложными инструментами или языками программирования.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― набор инструментов для анализа подозрительных PE-файлов. Работает в Windows, Linux и macOS.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― фреймворк Python, который включает функции дизассемблера, статического анализатора, символьного выполнения и отладки.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― экспериментальный фреймворк, объединяющий шесть инструментов для автоматизированного статического анализа бинарных файлов.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― дизассемблер и отладчик для Windows с бесплатной версией и возможность расширения функциональности при помощи open-source-плагинов, например,Для просмотра ссылки необходимо нажать Вход или РегистрацияиДля просмотра ссылки необходимо нажать Вход или Регистрация.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация— популярная альтернатива IDA с бесплатной облачной версией и частично открытым исходным кодом.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― набор плагинов, которые позволяют синхронизировать сеансы в дизассемблерах IDA, Ghidra и Binary Ninja.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― мультиплатформенный набор утилит и библиотек для анализа машинного кода. Поддерживает x86, x86-64, ARM, MIPS, PowerPC. Другие архитектуры могут быть добавлены в виде плагинов.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― UNIX-подобная среда для реверс-инжиниринга. Позволяет анализировать, эмулировать, отлаживать, модифицировать и дизассемблировать любой бинарник. Может работать через удаленный сервер gdb.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― форк Radeone2 с упором на удобство использования и стабильность. Включает все необходимое для полноценного бинарного анализа.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― бесплатная платформа для реверс-инжиниринга с открытым исходным кодом и плагином для интеграции с декомпилятором Ghidra. Построена на базеДля просмотра ссылки необходимо нажать Вход или Регистрация. Предоставляет удобный пользовательский интерфейс.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― кроссплатформенная альтернатива деббагеруДля просмотра ссылки необходимо нажать Вход или Регистрация.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― быстрый дизассемблер для анализа вредоносного шелл-кода.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― мультиплатформенный фреймворк для исследования бинарных файлов.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― простой в использовании инструмент для анализа, извлечения образов и реверс-инжиниринга микропрограмм.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― инструмент для быстрого анализа исполняемых файлов Windows. Показывает PE-заголовок и его структуру, содержимое разделов, различные типы строк. Облегчает идентификацию вредоносного кода внутри анализируемых файлов. Исходный код не опубликован.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― анализирует возможности исполняемых файлов. Вы скармливаете PE, ELF и шеллкод, а capa сообщает, что, может сделать программа.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― кроссплатформенная библиотека для анализа, изменения и абстрагирования форматов ELF, PE, MachO, DEX, OAT, ART и VDEX без использования дизассемблера.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― декомпилятор исполняемых файлов (EXE) и динамических библиотек (DLL), написанный на Delphi. Часто используется для анализа банковских вредоносных программ.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― синтаксический анализатор PE-файлов с поддержкой плагинов. Лежит в основе вышеупомянутого онлайн-сервиса Manalyzer.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― библиотека Java для статического анализа переносимых исполняемых файлов с акцентом на анализ вредоносных программ и устойчивость к искажениям PE.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― анализатор файлов PE-формата со встроенным Hex-редактором и возможностью детектирования различных упаковщиков по сигнатурам.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― аналог PE-bear, созданный Эриком Пистелли. Представляет собой набор инструментов: шестнадцатеричный редактор, сканер и менеджер подписей, дизассемблер, обходчик зависимостей и т. д. Первый PE-редактор с поддержкой внутренних структур .NET.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― универсальный инструмент для статического анализа исполняемых файлов Windows, Linux, OSX, а также APK.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― система оценки вредоносного ПО для Android, игнорирующая обфускацию. Входит в комплект поставки Kali Linux и BlackArch.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― платформа для статического анализа Android-приложений.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― инструмент для оценки потенциальной опасности Android-приложений на основе методов машинного обучения.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― SAST-анализатор вредоносных программ для Android.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― набор скриптов для автоматического обнаружения запутанного кода.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― деобфускатор и распаковщик .NET, написанный на C#.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― статический анализатор для автоматической деобфускации бинарных файлов вредоносных программ.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― утилита для анализа вредоносного Javascript-кода с функциями статического анализа и деобфускации.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― используется для декодирования запутанных макросов XLM. Использует внутренний эмулятор XLM для интерпретации макросов без полного выполнения кода. Поддерживает форматы xls, xlsm и xlsb.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация— платформа для анализа разнообразных вредоносных файлов в виртуализированных средах Windows, Linux, macOS и Android. Поддерживает YARA и анализ памяти зараженной виртуальной системы при помощиДля просмотра ссылки необходимо нажать Вход или Регистрация.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― песочница с функцией автоматической распаковки вредоносного ПО. Построена на базе Cuckoo. Позволяет проводить классификацию на основе сигнатур Yara.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― защищенная операционная система, основанная на концепции разграничения сред. Использует гипервизор Xen и состоит из набора отдельных виртуальных машин. Может служить площадкой для исследования вредоносов, однако не включает в себя специализированные инструменты для их анализа.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― отладчик с открытым исходным кодом под Windows, предназначенный для реверс-инжиниринга вредоносных файлов. Выделяется обширным спискомДля просмотра ссылки необходимо нажать Вход или Регистрация.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― безагентная система бинарного анализа типа «черный ящик». Позволяет отслеживать выполнение бинарных файлов без установки специального программного обеспечения на виртуальной машине. Требует для работы процессор Intel с поддержкой виртуализации (VT-x) и Extended Page Tables (EPT).
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― простая портативная песочница для автоматического сбора и анализа информации о вредоносных программах и составления отчетов об их действиях.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― продвинутый диспетчер задач, позволяющий наблюдать за поведением подозрительных программ в реальном времени. Отображает сетевые подключения, активные процессы, информацию об использовании памяти и обращениях к жестким дискам, использовании сети. Также отображает трассировки стека.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― системная служба Windows, регистрирующая активность системы в журнале событий Windows. Предоставляет подробную информацию о происходящем в системе: о создании процессов, сетевых подключениях времени создания и изменения файлов. Работает с заранее созданными конфигурационными файлами, которыеДля просмотра ссылки необходимо нажать Вход или Регистрация.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― сканер процессов, нацеленный на обнаружение вредоносных программ и сбор материалов для дальнейшего анализа. Распознает и создает дамп различных имплантов в рамках сканируемых процессов. Основан наДля просмотра ссылки необходимо нажать Вход или Регистрация.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― API Python для создания интеграций с различными проприетарными песочницами.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― Dynamic Executable Code Analysis Framework ― платформа для анализа бинарных файлов, основанная на QEMU. Поддерживает 32-разрядные версии Windows XP/Windows 7/linux и X86/arm.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― внедряет фрагменты JavaScript в нативные приложения для Windows, Mac, Linux, iOS и Android, что позволяет изменять и отлаживать запущенные процессы. Frida не требует доступа к исходному коду и может использоваться на устройствах iOS и Android, которые не взломаны или не имеют root-доступа.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― инструмент для изучения вредоносного JavaScript-ПО с поддержкой JScript/WScript и эмуляцией ActiveX.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― инструмент для исследования и трассировка ядра Windows.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― большая коллекция инструментов динамического анализа для различных языков программирования.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― перехватывающий HTTP-прокси с поддержкой SSL/TLS.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― известный универсальный инструмент для анализа сетевого трафика.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― фреймворк для анализа трафика и мониторинга безопасности, ведет подробные журналы сетевой активности.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― система обнаружения вредоносного трафика на базе общедоступных черных списков сетевых адресов.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― онлайн-движок для анализа .pcap-файлов и визуализации сетевого трафика.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― инструмент, предназначенный для помощи в идентификации и классификации зловредов. Позволяет создавать описания семейств вредоносных программ в виде правил ― в общепринятом удобном для обработки формате. Работает на Windows, Linux и Mac OS X.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― обширный список правил для YARA, позволяет быстро подготовить этот инструмент к использованию.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― генератор правил YARA из подозрительных фрагментов кода, найденных в файлах вредоносных программ. Автоматизирует процесс создания новых правил.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― пополняемая коллекция инструментов, правил, сигнатур и полезных ресурсов для пользователей YARA.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― платформа, для сбора и агрегации данных об угрозах в едином репозитории. Умеет обогащать загруженные данные, снабжена удобным графическим интерфейсом и развитым API.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― утилита для организации, анализа и менеджмента личной коллекции вредоносных программ, образцов эксплойтов и скриптов. Хорошо работает в связке с Cuckoo и YARA.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― ПО для сбора, хранения обмена индикаторами компрометации и данными, полученными в результате анализа вредоносных программ.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― фреймворк для анализа вредоносных программ, который называют open source версией VirusTotal.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― модульное приложение на Python для сбора сведений о вредоносных хостах.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация— проверка электронной почты на разных языках. Утилита снабжена базой данных из более чем 38 000 поддельных провайдеров электронной почты.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― портал для обмена URL-адресами, которые используются для распространения вредоносных программ.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― агрегатор опасных IP-адресов с акцентом на хакерские атаки, распространение вредоносного ПО и мошенничество. Использует данные из более чем 300 источников.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация— инструмент для сбора информации о зловредах из общедоступных источников. Позволяет получить списки подозрительных IP-адресов, доменных имен, URL, адресов электронной почты, хешей файлов и SSL fingerprints.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация— конвейер для сбора данных об угрозах из Twitter, GitHub, RSS каналов и других общедоступных источников.
-
Для просмотра ссылки необходимо нажать Вход или РегистрацияиДля просмотра ссылки необходимо нажать Вход или Регистрацияагрегаторы IOC из различных открытых источников.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация— решение для получения данных при помощи единого API. Предоставляет централизованный доступ к ряду онлайн-анализаторов вредоносных программ.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― инструмент для классификации и сортировки вредоносных программ IOC и хешей с возможностью генерации отчетов по результатам статического и динамического анализа.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― инструмент для поиска мошеннических доменов, маскирующихся под ваш сайт.
В этом разделе собраны ссылки на опасные вредоносные программы. Они не деактивированы и представляют реальную угрозу. Не скачивайте их, если не уверены в том, что делаете. Используйте для исследований только изолированные программные среды. В этих коллекциях много червей, которые заразят все, до чего смогут дотянуться.
Ссылки предоставляются исключительно в научных и образовательных целях.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― активно пополняемая коллекция вредоносных программ, собранная специально для исследователей и специалистов по кибербезопасности.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― коллекция вредоносных программ от virussamples.com.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― пополняемый github-репозиторий с вредоносами, к которым прилагаются упражнения по анализу вредоносного ПО.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― еще одна обширная и постоянно растущая коллекция бесплатных образцов вредоносных программ.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― репозиторий, который помимо образцов малвари предлагает дополнительные данные для YARA.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― проект, целью которого является обмен образцами вредоносного ПО с поставщиками антивирусных программ и сообществом экспертов по информационной безопасности. Поддерживает собственное API.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― онлайн-платформа для совместной работы, которая связывает специалистов из центров мониторинга информационной безопасности с исследователями вредоносных программ. Представляет собой специализированную социальную сеть.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― большой репозиторий вредоносных программ с обязательной регистрацией.
-
Для просмотра ссылки необходимо нажать Вход или Регистрация― вирусы, распространявшиеся в 1980-х и 1990-х годах. Практически безобидны на фоне остальных ссылок из этого раздела и представляют скорее историческую ценность.
Для просмотра ссылки необходимо нажать
Вход или Регистрация