Loki – 简单的IOC和事件响应扫描器-华盟网

Loki – 简单的IOC和事件响应扫描器

华盟学院山东省第二期线下学习计划

Loki是一款免费且简单的IOC(妥协指标)扫描仪,完全重写了APT扫描仪THOR的主要分析模块。

检测基于四种检测方法:
文件名IOC
正则表达式匹配完整的文件路径/名称
Yara规则检查
Yara签名匹配文件数据和进程内存

哈希检查
将已知的恶意哈希(MD5,SHA1,SHA256)与扫描的文件进行比较
C2后面连接检查
将过程连接端点与C2 IOC进行比较(从版本v.10开始新增)

其他支票:
Regin文件系统检查(通过--reginfs)
处理异常检查(基于Sysforensics)
SWF解压缩扫描(从版本v0.8开始新增)
SAM转储检查
DoublePulsar检查 - 尝试检测端口445 / tcp和3389 / tcp上的DoublePulsar后门程序
PE-Sieve过程检查
Windows二进制文件使用PyInstaller 2.1进行编译,并且应该在基于x86和x64的系统上作为x86应用程序运行。

如何运行LOKI并分析报告
跑:
下载最新的LOKI版本
运行一次以检索最新的签名库存储库
将文件夹提供给应扫描的目标系统:可移动媒体,网络共享,目标系统上的文件夹
右键单击loki.exe,然后选择“以管理员身份运行”或以管理员身份打开命令行“cmd.exe”,然后从中运行它(您也可以在没有管理权限的情况下运行LOKI,但某些检查将被禁用且相关对象磁盘将无法访问)

报告:
结果报告将显示绿色,黄色或红色结果行。
请自行分析研究结果:
将非保密样本上传到Virustotal.com
在网上搜索文件名
在网络中搜索规则名称中的关键字(例如,EQUATIONGroupMalware_1>搜索“方程组”)
在网上搜索样本的MD5哈希
在我的客户APT搜索引擎中搜索文件名或标识符
请通过问题部分报告误报(提及假阳性指标,如散列和/或文件名以及触发的规则名称)


用法:
loki.exe [-h] [-p路径] [-s千字节] [-l日志文件] [-r远程日志主机]

         [-a警报级别] [-w警告级别] [-n通知级别]

         [--printAll] [--allreasons] [--noprocscan] [--nofilescan]

         [--scriptanalysis] [--rootkit] [--noindicator] [--reginfs]

         [--dontwait] [--intense] [--csv] [--onlyrelevant] [--nolog]

         [--update] [--debug]

Loki  - 简单的IOC扫描仪

可选参数:
-h,--help显示此帮助信息并退出

-p路径扫描路径

-s千字节要检入的最大文件大小KB(默认5000 KB)

-l日志文件日志文件

-r remote-loghost远程系统日志系统

- 警报级警报评分

-w警告级别警告分数

-n通知级别通知分数

--printAll打印所有扫描的文件

--allreasons打印导致得分的所有原因

--noprocscan跳过进程扫描

--nofilescan跳过文件扫描

--scriptanalysis激活脚本分析(测试版)

--rootkit跳过rootkit检查

--noindicator不显示进度指示器

--reginfs检查Regin虚拟文件系统

--dontwait不要等待退出

- 强烈激烈的扫描模式(也扫描未知的文件类型和所有

扩展)

--csv将CSV日志格式写入标准输出(机器程序)

- 仅适用于仅打印警告或警报

--nolog不要编写本地日志文件

--update更新“signature-base”子签名

知识库

- 调试调试输出

更新:
LOKI包含一个名为loki- upgrader.exe或loki-upgrader.py的独立更新工具。
用法:loki-upgrader.py [-h] [-l日志文件] [--sigsonly] [--progonly] [--nolog]
[--debug]

Loki  - 升级

可选参数:
-h,--help显示此帮助信息并退出
-l日志文件日志文件
--sigsonly只更新签名
- 只能更新程序文件
--nolog不要编写本地日志文件
- 调试调试输出
它允许您更新Windows编译的loki.exe和基于签名的源代码。

当运行loki.exe --update时,它会创建一个新的升级程序并退出LOKI,以便用新的升级程序替换loki.exe,否则将被锁定。

下载地址:https://github.com/Neo23x0/Loki/releases

仅供于学习研究使用,不得非法使用,如非法操作,责任自行承担

www.idc126.com

文章出处:http://www.effecthacking.com,由华盟网翻译排版,转载请注明华盟网

本文由 华盟网 作者:AlexFrankly 发表,其版权均为 华盟网 所有,文章内容系作者个人观点,不代表 华盟网 对观点赞同或支持。如需转载,请注明文章来源。
0

发表评论