php malware finder

Поиск вредоносных программ PHP

 _______  __   __  _______
|  ___  ||  |_|  ||       |
| |   | ||       ||    ___|
| |___| ||       ||   |___   Webshell finder,
|    ___||       ||    ___|   kiddies hunter,
|   |    | ||_|| ||   |		website cleaner.
|___|    |_|   |_||___|

Detect potentially malicious PHP files.

Что он обнаруживает?

PHP-malware-finder делает все возможное, чтобы обнаружить запутанный/хитрый код, а также файлы, использующие функции PHP, часто используемые во вредоносных программах/веб-шеллах.

Также обнаружен следующий список кодировщиков/обфускаторов/веб-оболочек:

• Петух
• Лучший PHP-обфускатор
• Карбиламин
• Дизайн шифрования
• Циклодев
• Джоес Веб-инструменты Обфускатор
• ПАС
• PHP Джиами
• Кодирование Php-обфускатора
• СпинОбф
• Уивли3
• атомику
• обфускатор кобры
• нано
• Новахот
• PHPencode
• Теннк
• веб-коллекция вредоносных программ
• веб-инструментыvn
• Кракен-нг

Конечно, обойти PMF тривиально , но его цель — ловить детишек и идиотов, а не людей с работающим мозгом. Если вы сообщаете о глупом специальном обходе PMF, вы, вероятно, принадлежите к одной (или обеим) категории и вам следует перечитать предыдущее утверждение.

Как это работает?

Обнаружение осуществляется путем сканирования файловой системы и проверки файлов на соответствие набору правил YARA. Да, это так просто!

Вместо использования подхода , основанного на хешировании , PMF старается, насколько это возможно, использовать семантические шаблоны, чтобы обнаружить такие вещи, как «переменная $_GET декодируется два раза, разархивируется, а затем передается какой-то опасной функции, такой как system ».

Установка

Из источника

• Установите Go >= 1.17 (с помощью менеджера пакетов или вручную).
• Установите libyara >= 4.2 (используя менеджер пакетов или из исходного кода).
• Загрузите php-malware-finder: git clone https://github.com/jvoisin/php-malware-finder.git
• Создайте php-malware-finder: cd php-malware-finder && make

или замените последние два шага на go install github.com/jvoisin/php-malware-finder , который напрямую скомпилирует и установит PMF в вашу папку ${GOROOT}/bin .

Как его использовать?

 $ ./php-malware-finder -h
Usage:
  php-malware-finder [OPTIONS] [Target]

Application Options:
  -r, --rules-dir=      Alternative rules location (default: embedded rules)
  -a, --show-all        Display all matched rules
  -f, --fast            Enable YARA's fast mode
  -R, --rate-limit=     Max. filesystem ops per second, 0 for no limit (default: 0)
  -v, --verbose         Verbose mode
  -w, --workers=        Number of workers to spawn for scanning (default: 32)
  -L, --long-lines      Check long lines
  -c, --exclude-common  Do not scan files with common extensions
  -i, --exclude-imgs    Do not scan image files
  -x, --exclude-ext=    Additional file extensions to exclude
  -u, --update          Update rules
  -V, --version         Show version number and exit

Help Options:
  -h, --help            Show this help message

Или, если вы предпочитаете использовать yara :

 $ yara -r ./data/php.yar /var/www

Имейте в виду, что вам следует использовать как минимум YARA 3.4, поскольку мы используем хеши для системы белых списков и жадные регулярные выражения. Обратите внимание: если вы планируете собирать Yara из исходных кодов, в вашей системе должна быть установлена ​​библиотека libssl-dev, чтобы иметь поддержку хэшей.

Да, и кстати, вы можете запустить комплексный набор тестов с помощью make tests .

Докер

Если вы не хотите устанавливать Go и libyara, вы также можете использовать наш образ докера и просто смонтировать папку, которую хотите сканировать, в каталог /data контейнера:

 $ docker run --rm -v /folder/to/scan:/data ghcr.io/jvoisin/php-malware-finder

Белый список

Проверьте файл whitelist.yar. Если вам лень, вы можете создавать белые списки для целых папок с помощью скриптаgenerate_whitelist.py.

Почему я должен использовать его вместо чего-то другого?

Потому что:

• Он не использует одно правило для каждого образца, поскольку его заботит только поиск вредоносных шаблонов, а не конкретных веб-шеллов.
• Он имеет полный набор тестов, чтобы избежать регрессий.
• Его система белых списков не зависит от имен файлов.
• Он не полагается на (медленное) вычисление энтропии.
• Он использует статический анализ в стиле гетто вместо того, чтобы полагаться на хэши файлов.
• Благодаря вышеупомянутому псевдостатическому анализу он (особенно) хорошо работает с запутанными файлами.

Лицензирование

PHP-malware-finder распространяется по лицензии GNU Lesser General Public License v3.

Удивительный проект YARA распространяется по лицензии Apache v2.0.

Патчи, белые списки или образцы, конечно, более чем приветствуются.