D-Eyes是一个支持Yara规则的应急响应工具,该工具由绿盟科技大佬研发,工具支持部分勒索挖矿病毒的查杀,支持指定文件、目录、进程、外联IP扫描告警,支持基线信息扫描,Linux下支持空密码账户检测、SSH Server wrapper检测、SSH用户免密证书登录检测、主机 Sudoer检测、alias检测、Setuid检测、SSH登录爆破检测、主机Rootkit检测。该版本为spring漏洞预排查专版,支持spring漏洞扫描。
D-Eyes为绿盟科技一款应急响应工具,支持勒索挖矿病毒及webshell等恶意样本排查检测,同时可作为应急响应排查时的辅助工具。
注:若扫到恶意文件,会在D-Eyes所在目录下自动生成扫描结果D-Eyes.xlsx文件,若未检测到恶意文件则不会生成文件,会在终端进行提示。
命令:D-Eyes fs
单一路径扫描:D-Eyes fs -P D:tmp
多个路径扫描:D-Eyes fs -P C:WindowsTEMP,D:tmp,D:tools
命令:D-Eyes fs -P C:WindowsTEMP,D:tmp -t 3
命令:D-Eyes fs -P D:tmp -t 3 -r Ransom.Wannacrypt
注:规则名称即将yaraRules目录下的规则去掉后缀".yar", 如:指定”Ransom.Wannacrypt.yar”规则,即”-r Ransom.Wannacrypt”。
命令:./D-Eyes fs
单一路径扫描:./D-Eyes fs -P /tmp
多个路径扫描:./D-Eyes fs -P /tmp,/var
命令:./D-Eyes fs -P /tmp,/var -t 3
命令:./D-Eyes fs -P /tmp -t 3 -r Ransom.Wannacrypt
注:规则名称即将yaraRules目录下的规则去掉后缀".yar", 如:指定”Ransom.Wannacrypt.yar”规则,即”-r Ransom.Wannacrypt”。
注:进程扫描的结果在终端上进行提示。
命令:D-Eyes ps
命令:D-Eyes ps -p 1234
命令:D-Eyes ps -p 1234 -r Ransom.Wannacrypt
可将恶意ip添加到工具目录 ”ip.config”文件当中,执行”D-Eyes ps”程序会自动检测是否有进程连接该IP,最后结果会输出到终端。
ip.config 文件格式(换行添加即可),如:
0.0.0.0
127.0.0.1 |
命令:./D-Eyes ps
命令:./D-Eyes ps -p 1234
命令:./D-Eyes ps -p 1234 -r Ransom.Wannacrypt
可将恶意ip添加到工具目录 ”ip.config”文件当中,执行”D-Eyes ps”程序会自动检测是否有进程连接该IP,最后结果会输出到终端。
ip.config 文件格式(换行添加即可),如:
0.0.0.0
127.0.0.1 |
Windows命令:D-Eyes host
Linux命令: ./D-Eyes host
Windows命令:D-Eyes netstat
Linux命令: ./D-Eyes netstat
注:主机若存在远程连接,执行该条命令后会在工具同级目录下自动生成“RemoteConnectionIP.csv”文件,之后可直接将该文件上传到“绿盟NTI威胁研判模块”查询主机所有远程连接IP信息。
绿盟NTI威胁研判模块网址:https://ti.nsfocus.com/advance/#/judge
Windows命令:D-Eyes users
Linux命令: ./D-Eyes users
Windows命令:D-Eyes top
Linux命令: ./D-Eyes top
Windows命令:D-Eyes task
Linux命令: ./D-Eyes task
Windows命令:D-Eyes autoruns
Linux命令: ./D-Eyes autoruns
Windows命令:D-Eyes summary
Linux命令: ./D-Eyes summary
注:执行该条命令后会在工具同级目录下自动生成“SummaryBaseInfo.txt”文件,文件内容包括主机系统信息、主机用户列表、主机计划任务及主机IP信息。
Linux命令: ./D-Eyes sc
注:目前Linux自检功能支持以下模块检测:
空密码账户检测、SSH Server wrapper检测、SSH用户免密证书登录检测、主机 Sudoer检测、alias检测、Setuid检测、SSH登录爆破检测、主机Rootkit检测、主机历史命令检测、主机最近成功登录信息显示、主机计划任务内容检测、环境变量检测、系统启动服务检测、TCP Wrappers 检测、inetd配置文件检测、xinetd配置文件检测、预加载配置文件检测。
在D-Eyes工具目录下子目录yaraRules中,部分规则会触发杀毒软件告警,因为该目录存放的规则文件与杀软查杀规则相符,会触发杀软告警,直接加白即可,不会存在实际危害。
目前支持的恶意样本检测种类如下:
勒索:
Babuk、BadEncript、BadRabbit、BCrypt、BlackMatter、Cerber、Chaos、ChupaCabra、Common、Conti、Cryakl、CryptoLocker、cryt0y、DarkSide、Fonix、GandCrab、Globeimposter、Henry217、HiddenTear、LockBit、Locky、Magniber、Makop、MBRLocker、MedusaLocker、Nemty、NoCry、Petya、Phobos、Povlsomware、QNAPCrypt、Sarbloh、Satana、ScreenLocker、Sodinokibi、Stop、Termite、TeslaCrypt、Thanos、Tohnichi、TrumpLocker、Venus、VoidCrypt、Wannacrypt、WannaDie、WannaRen、Zeppelin
挖矿:
Wannamine、ELFcoinminer、givemexyz家族、Monero、TrojanCoinMiner
僵尸网络:
BlackMoon、Festi、Gafgyt、Kelihos、Mykings
Webshell:
支持中国菜刀、Cknife、Weevely、蚁剑 antSword、冰蝎 Behinder、哥斯拉 Godzilla等常见工具的webshell脚本的检测。
D-Eyes为绿盟科技一款应急响应工具,支持勒索挖矿病毒及webshell等恶意样本排查检测,同时可作为应急响应排查时的辅助工具。
D-Eyes Fastjson检测专版在检测主机是否使用了受影响的fastjson组件的同时,默认会检测主机是否存在webshell。
注:若扫到恶意文件,会在D-Eyes所在目录下自动生成扫描结果D-Eyes.xlsx文件,若未检测到恶意文件则不会生成文件,会在终端进行提示。
命令:D-Eyes fs
单一路径扫描:D-Eyes fs -P D:tmp
多个路径扫描:D-Eyes fs -P C:WindowsTEMP,D:tmp,D:tools
命令:D-Eyes fs -P C:WindowsTEMP,D:tmp -t 3
命令:D-Eyes fs -P D:tmp -t 3 -r Ransom.Wannacrypt
注:规则名称即将yaraRules目录下的规则去掉后缀".yar", 如:指定”Ransom.Wannacrypt.yar”规则,即”-r Ransom.Wannacrypt”。
命令:./D-Eyes fs
单一路径扫描:./D-Eyes fs -P /tmp
多个路径扫描:./D-Eyes fs -P /tmp,/var
命令:./D-Eyes fs -P /tmp,/var -t 3
命令:./D-Eyes fs -P /tmp -t 3 -r Ransom.Wannacrypt
注:规则名称即将yaraRules目录下的规则去掉后缀".yar", 如:指定”Ransom.Wannacrypt.yar”规则,即”-r Ransom.Wannacrypt”。
注:进程扫描的结果在终端上进行提示。
命令:D-Eyes ps
命令:D-Eyes ps -p 1234
命令:D-Eyes ps -p 1234 -r Ransom.Wannacrypt
可将恶意ip添加到工具目录 ”ip.config”文件当中,执行”D-Eyes ps”程序会自动检测是否有进程连接该IP,最后结果会输出到终端。
ip.config 文件格式(换行添加即可),如:
0.0.0.0
127.0.0.1 |
命令:./D-Eyes ps
命令:./D-Eyes ps -p 1234
命令:./D-Eyes ps -p 1234 -r Ransom.Wannacrypt
可将恶意ip添加到工具目录 ”ip.config”文件当中,执行”D-Eyes ps”程序会自动检测是否有进程连接该IP,最后结果会输出到终端。
ip.config 文件格式(换行添加即可),如:
0.0.0.0
127.0.0.1 |
Windows命令:D-Eyes host
Linux命令: ./D-Eyes host
Windows命令:D-Eyes netstat
Linux命令: ./D-Eyes netstat
注:主机若存在远程连接,执行该条命令后会在工具同级目录下自动生成“RemoteConnectionIP.csv”文件,之后可直接将该文件上传到“绿盟NTI威胁研判模块”查询主机所有远程连接IP信息。
绿盟NTI威胁研判模块网址:https://ti.nsfocus.com/advance/#/judge
Windows命令:D-Eyes users
Linux命令: ./D-Eyes users
Windows命令:D-Eyes top
Linux命令: ./D-Eyes top
Windows命令:D-Eyes task
Linux命令: ./D-Eyes task
Windows命令:D-Eyes autoruns
Linux命令: ./D-Eyes autoruns
Windows命令:D-Eyes summary
Linux命令: ./D-Eyes summary
注:执行该条命令后会在工具同级目录下自动生成“SummaryBaseInfo.txt”文件,文件内容包括主机系统信息、主机用户列表、主机计划任务及主机IP信息。
Linux命令: ./D-Eyes sc
注:目前Linux自检功能支持以下模块检测(Fastjson检测专版支持部分检测):
空密码账户检测、SSH Server wrapper检测、SSH用户免密证书登录检测、主机 Sudoer检测、alias检测、Setuid检测、SSH登录爆破检测、主机Rootkit检测、主机历史命令检测、主机最近成功登录信息显示、主机计划任务内容检测、环境变量检测、系统启动服务检测、TCP Wrappers 检测、inetd配置文件检测、xinetd配置文件检测、预加载配置文件检测。
在D-Eyes工具目录下子目录yaraRules中,部分规则会触发杀毒软件告警,因为该目录存放的规则文件与杀软查杀规则相符,会触发杀软告警,直接加白即可,不会存在实际危害。
目前支持的恶意样本检测种类如下:
勒索:
Babuk、BadEncript、BadRabbit、BCrypt、BlackMatter、Cerber、Chaos、ChupaCabra、Common、Conti、Cryakl、CryptoLocker、cryt0y、DarkSide、Fonix、GandCrab、Globeimposter、Henry217、HiddenTear、LockBit、Locky、Magniber、Makop、MBRLocker、MedusaLocker、Nemty、NoCry、Petya、Phobos、Povlsomware、QNAPCrypt、Sarbloh、Satana、ScreenLocker、Sodinokibi、Stop、Termite、TeslaCrypt、Thanos、Tohnichi、TrumpLocker、Venus、VoidCrypt、Wannacrypt、WannaDie、WannaRen、Zeppelin
挖矿:
Wannamine、ELFcoinminer、givemexyz家族、Monero、TrojanCoinMiner
僵尸网络:
BlackMoon、Festi、Gafgyt、Kelihos、Mykings
Webshell:
支持中国菜刀、Cknife、Weevely、蚁剑 antSword、冰蝎 Behinder、哥斯拉 Godzilla等常见工具的webshell脚本的检测。
相关推荐: D-Eyes:一个绿盟科技开发的支持Yara规则的跨平台应急响应工具
D-Eyes是一个支持Yara规则的应急响应工具,该工具由绿盟科技大佬研发,工具支持部分勒索挖矿病毒的查杀,支持指定文件、目录、进程、外联IP扫描告警,支持基线信息扫描,Linux下支持空密码账户检测、SSH Server wrapper检测、SSH用户免密证…