cccs/assemblyline-service-frankenstrings Docker 镜像 - 轩辕镜像

FrankenStrings服务

此服务使用模式匹配、简单编码解码器和脚本反混淆器执行文件和IOC提取。

BALBUZARD：BSD 2-Clause许可证，参见balbuzard代码文件顶部

服务详情

1. 字符串提取：

• ASCII和unicode字符串IOC检查（参见patterns.py）
• Balbuzard的bb*** level 1（深度扫描时为level 2）XOR转换模块。仅匹配特定IOC（参见patterns.py、bb***.py）
• Base64字符串提取

2. 文件提取：

• Balbuzard的bb*** level 1（深度扫描时为level 2）XOR转换模块（仅搜索PE文件）
• 针对感兴趣文件类型的Base64模块搜索（参见frankenstrings.py）
• 嵌入式PE文件提取
• Unicode、Hex、Ascii-Hex提取模块（用于可能的shellcode）

当不处于深度扫描模式时，此AL服务将根据提交文件的大小跳过检测模块（以防止服务积压和超时）。默认值故意设置为较小尺寸。可根据AL实例的流量/硬件情况，在服务配置中轻松更改过滤器。

服务配置

• max_size：此服务接受的提交文件最大大小
• max_length：字符串最大长度。用于基本ASCII和UNICODE模块
• st_max_size：字符串列表最大大小。由基本ASCII和UNICODE模块结果生成的列表，将决定patterns.py是否仅评估网络IOC模式
• bb_max_size：运行bb***模块的提交文件最大大小

结果输出

1. 静态字符串（ASCII、UNICODE、BASE64）：

• 标记匹配感兴趣IOC模式的字符串
• 解码的BASE64。提取超过200字节的内容，否则合并所有解码内容并提取到单个文本文件中

2. 嵌入式PE文件：

• 提取文件中嵌入的PE文件
• 提取文件中嵌入的反向PE文件

3. ASCII Hex字符串：

• 成功解码的ASCII十六进制数据内容提取（超过500字节的任何数据）
• 为所有成功解码的数据标记IOC模式匹配
• 自定义暴力XOR模块后标记URI模式匹配（参见bb***.py中的添加模块）

4. BB*** XOR字符串：

• 标记所有匹配感兴趣IOC模式的字符串
• 提取解码的XOR加密PE文件

镜像变体和标签

Assemblyline服务基于Assemblyline服务基础镜像构建，该基础镜像基于Debian 11并带有Python 3.11。

Assemblyline服务使用以下标签定义：

运行此服务

这是一个Assemblyline服务，设计用于在Assemblyline框架中运行。

如果要在本地测试此服务，可以直接从shell运行Docker镜像：

bash
docker run \
    --name FrankenStrings \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-frankenstrings

要将此服务添加到Assemblyline部署，请遵循此指南。

文档

Assemblyline通用文档可在以下位置找到：[***]