FortiSandbox Fortinet [ basic install / configure ] [part1.0]

Опыт развертывания FortiSandbox, системы динамического + статического анализа файлов от компании Fortinet.

Часть 1.0

Ко мне на тест попал виртуальный аплайнс для развертывания на гипервизорах vmware.
После запроса лицензий инстанс был зарегистрирован в базе форти и был сгенерирован файл для активации виртуалки (.lic)

Установка и настройка Fortisandbox:

Обязательным условием является поддержка CPU опций:
Intel Virtualization Technology (VT-x/EPT) или AMD Virtualization (AMD-V/RVI),
а так же в BIOS должен быть включен -  Virtualization Technology and 64-bit support.
На своем ESXI (6я версия) я добавил строчку:

[root@localhost:~] cat /etc/vmware/config
libdir = "/usr/lib/vmware"
authd.proxy.nfc = "vmware-hostd:ha-nfc"
authd.proxy.nfcssl = "vmware-hostd:ha-nfcssl"
authd.proxy.vpxa-nfcssl = "vmware-vpxa:vpxa-nfcssl"
authd.proxy.vpxa-nfc = "vmware-vpxa:vpxa-nfc"
authd.fullpath = "/sbin/authd"
vhv.enable = "TRUE"

Деплоим .ovf контейнер, настраиваем ip адрес на порту "port1" (ip адрес будет нужен на этапе генерации лицензий)




После деплоя, запускаем, ждем пока закончится разметка волумов, и инициализация бд.
Заходим, admin:пусто.
Прописываем адрес и гейт:
> set port1-ip 192.168.1.123/24
> set default-gw 192.168.1.1

Скачиваем файл лицензий, и заливаем их через Web-iface. (https://192.168.1.123)

Fast Malware Sandbox Create [Noriben+VMware+Windows+LOKI]

Мой опыт быстрого развертывания портативной среды анализа малвари, на основе vmware и noribien. (аналог Cuckoo)

Скачать все тулзы (что ниже) одним архивом + батники запуска анализа:

https://mega.nz/#F!cAc0XSAA!gyHheyBPOeQ_M44U77DXaw
Или собираем с самыми свежими версиями софта:

VMware
Для начала устанавливаем VMware Workstation. На момент теста у меня стояла 12.1.0 build-3272444. (Pro)
После чего устанавливаем VMware VIX 1.15.0 API for Windows 64-bit operating systems (для каждой вервии вари свой vix)
для 12.1.0 вари: http://www.tuinformaticafacil.com/descargas-gratis/virtualizacion/vmware/vmware-vix-api-para-windows-32-bit-y-64-bit

Windows Malware VM
Для быстроты развертывания можно взять готовый образ Windows XP с официального сайта мелкософта: https://dev.windows.com/en-us/microsoft-edge/tools/vms/windows/

Скачиваем образ по варю и деплоим виртуалку.

После деплоя, нужно довесить сетевуху и обновить vmware-tools, ребутимся.

Далее скачиваем необходимый софт:

Twitter sec memories #2 [04.02.15] (HTTP botnet / Android app analysis vm / Router Hunter / MITM vm )

Моя подборка тулз и заметок по ИБ в одном посте #2
(наиболее интересное что накопилось за пару дней)

Терминальный дашборд:

https://github.com/gizak/termui

Сетап:

master mirrors v2 branch, to install:

go get -u github.com/gizak/termui
For the compatible reason, you can choose to install the legacy version of termui:

go get gopkg.in/gizak/termui.v1

HTTP BOTNET Betabot 1.8.0.0.1(Private Version)

https://userscloud.com/xm8wih87ypca

https://mega.nz/#!hV0RQTQS!T82bIE1X2ZkjeGerkQvU8WgAniMM1ZIqtqs6lIjd4e4

(делать все только на виртуалке)

AndroL4b -виртуалка для реверса приложений для видроида. (A Virtual Machine For Assessing Android applications, Reverse Engineering and Malware Analysis)

Download

The tools directory contains tools and frameworks. Labs are in Lab directory.

username : andro
password : androlab

https://github.com/sh4hin/Androl4b

RouterhunterBR 2.0 - тестирование роутеров на уязвимости (automated Tool for Testing in Vulnerable Routers)

Random ips:

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 --randomip --limitip 10 --threads 10 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 -rip -lmtip 10 --threads 10

Scanner in range ip: 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 --range 192.168.25.0-255 --threads 10
IP range customized with wildcard / Ex: --startip 201.*.*.* - --endip 201.*.*.* 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 --startip 192.168.*.* --endip 192.168.*.* --threads 10

Brute force with users and passwords on routers that requires authentication, forcing alteration of dns - DSLink 260E. 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.4 --range 177.106.19.65-70 --bruteforce --threads 10

https://github.com/jh00nbr/Routerhunter-2.0

MITM Virtual Machine

git clone https://github.com/praetorian-inc/mitm-vm.git 

cd mitm-vm 

vagrant up

Методы обнаружения песочниц

https://github.com/a0rtega/pafish

Инструмент, который демонстрирует методы обнаружения песочницы и сред анализа вредоносного ПО, таким же образом, как малварь:

Javascript malware analysis / Javascript backdoor [RAT]

JavaScript Backdoor:

http://en.wooyun.io/2016/01/18/JavaScript-Backdoor.html

v.1 https://github.com/subTee/PoshRat/blob/master/JSrat.ps1

v.2 https://github.com/3gstudent/Javascript-Backdoor/blob/master/JSRat.ps1

Sandbox for semi-automatic Javascript malware analysis. Written for Node.js

https://github.com/HynekPetrak/malware-jail

Prerequisites
You'll need Node.js and npm.

malware-jail requires minimist, and xmlhttprequest and entities npm packages, you may install them with: 

npm install or nmp install minimist xmlhttprequest entities

In the examples folder you may find a deactivated malware file. Run the analysis with:

node jailme.js malware/example.js 

or just simply:

node jailme.js

Internet browser based malware you may test with:

node jailme.js malware/example_browser.js