如何使用DotNet-MetaData识别.NET恶意软件源码文件元数据

news2024/11/25 22:43:47

关于DotNet-MetaData

DotNet-MetaData是一款针对.NET恶意软件的安全分析工具，该工具专为蓝队研究人员设计，可以帮助广大研究人员轻松识别.NET恶意软件二进制源代码文件中的元数据。

工具架构

当前版本的DotNet-MetaData主要由以下两个部分组成：

1、DotNetMetadata.yar：这是一个Yara规则文件，用于将源代码数据显示到终端；

2、DotNetMetadata.py：该脚本负责从.NET源代码文件中提取GUID、MVID、YTPELIB和程序集名称等信息；

工具下载

由于该工具基于Python 3开发，因此我们首先需要在本地设备上安装并配置好最新版本的Python 3环境。

接下来，广大研究人员可以直接使用下列命令将该项目源码克隆至本地：

git clone https://github.com/bartblaze/DotNet-MetaData.git

工具使用

DotNetMetadata.yar

DotNetMetadata.yar可以将目标.NET源代码文件的相关数据显示到终端，使用方法如下：

yara64.exe DotNetMetadata.yar c:\fakepath\all_samples

Yara规则需要至少Yara v4.2.0版本以上，因此我们建议广大研究人员从【这里】获取最新的发布版本。

DotNetMetadata.py

DotNetMetadata.py脚本可以从.NET源代码文件中提取GUID、MVID、YTPELIB和程序集名称等信息，该脚本支持在Windows和Linux操作系统上运行，按理来说macOS也应该没有问题。

脚本使用样例如下：

python DotNetMetadata.py c:\fakepath\all_samples -c samples_output.csv

该脚本的正常运行需要使用到pythonnet库，安装命令如下：

pip install pythonnet

然后dnlib.dll文件也应该位于相同目录中。

针对类Linux系统，你还需要使用mono-complete安装Mono，在Ubuntu上可以使用下列命令安装：

sudo apt-get install mono-complete

然后从【这里】获取并编译dnlib，或直接从【这里】下载dnSpy-netframework.zip，然后从bin目录中获取dnlib.dll文件即可。这里建议使用最新版本的dnlib文件。

样本规则

项目提供的“sample rules”目录中包含了相关的检测样本规则，你可以根据自己的需求跟新和修改规则。

输出样例

下面给出的输出样例主要针对的是“Mpyiuepnw”单个文件，即PureLogStealer的其中一个版本，其SHA256哈希如下：

c201449a0845d659c32cc48f998b8cc95c20153bb1974e3a1ba80c53a90f1b27

使用Yara规则

$ yara64.exe DotNetMetadata.yar c:\fakepath\Mpyiuepnw.vir

Original Filename: Mpyiuepnw.exe

Internal Name: Mpyiuepnw.exe

Imphash (use with caution): f34d5f2d4577ed6d9ceec516c1f5a744

Compile timestamp (epoch): 1710224522

Module name: Mpyiuepnw.exe

Assembly name: Mpyiuepnw

Typelib: 856e9a70-148f-4705-9549-d69a57e669b0

# of GUIDs: 1

dotnet.guid: 0

 -> guid (MVID) = 9066ee39-87f9-4468-9d70-b57c25f29a67

# of streams: 5

# of resources is: 9

dotnet.resource: 0

 -> name = Rdfeunq.Properties.Resources.resources

 -> offset = 715528

 -> length = 2818774

dotnet.resource: 1

 -> name = Mpyiuepnw.Attributes.WrapperManager.resources

 -> offset = 3534306

 -> length = 180

dotnet.resource: 2

 -> name = Mpyiuepnw.Collections.ImporterHelperCollection.resources

 -> offset = 3534490

 -> length = 180

dotnet.resource: 3

 -> name = Mpyiuepnw.Roles.ConfigOrderRole.resources

 -> offset = 3534674

 -> length = 2932

dotnet.resource: 4

 -> name = Mpyiuepnw.Roles.CodeManager.resources

 -> offset = 3537610

 -> length = 2933

dotnet.resource: 5

 -> name = NAudio.Pages.TemplateAuthenticationPage.resources

 -> offset = 3540547

 -> length = 180

dotnet.resource: 6

 -> name = Mpyiuepnw.Roles.SchemaManager.resources

 -> offset = 3540731

 -> length = 2936

dotnet.resource: 7

 -> name = Mpyiuepnw.Polices.SingletonSingleton.resources

 -> offset = 3543671

 -> length = 180

dotnet.resource: 8

 -> name = NAudio.Common.PrototypeSingleton.resources

 -> offset = 3543855

 -> length = 180

# of module references: 7

# of strings: 710

使用Python脚本

单个文件：

$ python DotNetMetadata.py c:\fakepath\Mpyiuepnw.vir

File: c:\fakepath\Mpyiuepnw.vir

  Assembly Name: Mpyiuepnw

  MVID: 9066ee39-87f9-4468-9d70-b57c25f29a67

  GUID: 856e9a70-148f-4705-9549-d69a57e669b0

目录：

$  python DotNetMetadata.py c:\fakepath\quasar

File: c:\fakepath\quasar\02f0a7f184fcdaaa4d9a46ca29712c8daae0a46d2038bd362dc818025df8d553.vir

  Assembly Name: Client

  MVID: 60f5dce2-4de4-4c86-aa69-383ebe2f504c

  GUID: None

 

File: c:\fakepath\quasar\0790bb235f27fa3843f086dbdaac314c2c1b857e3b2b94c2777578765a7894a0.vir

  Assembly Name: spoolsv

  MVID: fb86b5ea-fecf-4314-9908-dfb44a648349

  GUID: ab37fd48-1226-4126-b12d-dea3361fb533

 

File: c:\fakepath\quasar\07f103ec9f4cf73a1ea534a7b1fed490045e8611c14cb66dfe8784f01ea63e5c.vir

  Assembly Name: Client

  MVID: 60f5dce2-4de4-4c86-aa69-383ebe2f504c

  GUID: None

 

File: c:\fakepath\quasar\0847a32772909b1685150473294dccd837d8ab3bf8d3a42fc75e8402c8fa9237.vir

  Assembly Name: Client

  MVID: 41eb6d08-2e57-46a1-826d-1b6049ebf6a6

  GUID: None

 

File: c:\fakepath\quasar\1332bb84dff1a55902b5eb2c76988f94a9edf4727d2c79871c47858b270f0856.vir

  Assembly Name: jkepkr

  MVID: da2e26cb-0ca3-474a-8fb6-08aa7ff3de20

  GUID: None

 

File: c:\fakepath\quasar\14b67f3273192e061b04c05bb81aea8794f58a856b762006fb2359f55230327c.vir

  Assembly Name: led注Sbm

  MVID: c4653540-cdba-4dba-965f-6b232d0313d8

  GUID: None

 

File: c:\fakepath\quasar\15931de8e192e8932d881c6d450d52090f92f9b5e9f0f0b903cc5ec033b58b54.vir

  Assembly Name: Client

  MVID: 60f5dce2-4de4-4c86-aa69-383ebe2f504c

  GUID: None

CSV输出样例

表格：

文件名

程序集名称

GUID

MVID

c:\fakepath\quasar\02f0a7f184fcdaaa4d9a46ca29712c8daae0a46d2038bd362dc818025df8d553.vir

Client

None

60f5dce2-4de4-4c86-aa69-383ebe2f504c

c:\fakepath\quasar\0790bb235f27fa3843f086dbdaac314c2c1b857e3b2b94c2777578765a7894a0.vir

spoolsv

ab37fd48-1226-4126-b12d-dea3361fb533

fb86b5ea-fecf-4314-9908-dfb44a648349

c:\fakepath\quasar\07f103ec9f4cf73a1ea534a7b1fed490045e8611c14cb66dfe8784f01ea63e5c.vir

Client

None

60f5dce2-4de4-4c86-aa69-383ebe2f504c

c:\fakepath\quasar\0847a32772909b1685150473294dccd837d8ab3bf8d3a42fc75e8402c8fa9237.vir

Client

None

41eb6d08-2e57-46a1-826d-1b6049ebf6a6

c:\fakepath\quasar\1332bb84dff1a55902b5eb2c76988f94a9edf4727d2c79871c47858b270f0856.vir

jkepkr

None

da2e26cb-0ca3-474a-8fb6-08aa7ff3de20

c:\fakepath\quasar\14b67f3273192e061b04c05bb81aea8794f58a856b762006fb2359f55230327c.vir

led注Sbm

None

c4653540-cdba-4dba-965f-6b232d0313d8

c:\fakepath\quasar\15931de8e192e8932d881c6d450d52090f92f9b5e9f0f0b903cc5ec033b58b54.vir

Client

None

60f5dce2-4de4-4c86-aa69-383ebe2f504c

CSV：

许可证协议

本项目的开发与发布遵循MIT开源许可协议。

项目地址

DotNet-MetaData：【GitHub传送门】

参考资料

Releases · VirusTotal/yara · GitHub

GitHub - 0xd4d/dnlib: Reads and writes .NET assemblies and modules

GitHub - dnSpyEx/dnSpy: Unofficial revival of the well known .NET debugger and assembly editor, dnSpy

恶意软件狩猎新途径：使用.NET元数据分析跟踪恶意软件 - FreeBuf网络安全行业门户

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1694022.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

element-ui 前端ui框架用法开发指南（2024-05-22）

element-ui 前端ui框架用法开发指南（2024-05-22）

Element，一套为开发者、设计师和产品经理准备的基于 Vue 2.0 的桌面端组件库 1、npm安装 // npm安装：npm install element-ui --save 能更好地和 webpack 打包工具配合使用 2、cdn在线引入 访问最新版本的资源地址 - element-uiThe CDN for element-u…
阅读更多...
C#解析JSON的常用库--Newtonsoft.Json

C#解析JSON的常用库--Newtonsoft.Json

一、库介绍 在C#中，解析JSON的常用库有Newtonsoft.Json（也称为Json.NET）和 System.Text.Json（从 .NET Core 3.0 开始引入）。本文主要介绍 Newtonsoft.Json。 二、下载 官网： https://www.nuget.org/pack…
阅读更多...
C语言之指针进阶（3），函数指针

C语言之指针进阶（3），函数指针

目录 前言： 一、函数指针变量的概念 二、函数指针变量的创建 三、函数指针变量的使用 四、两段特殊代码的理解 五、typedef 六、函数指针数组 总结： 前言： 本文主要讲述C语言指针中的函数指针，包括函数指针变量的概念、创建…
阅读更多...
简易进程池的实现

简易进程池的实现

什么是进程池？ 进程池（Process Pool）是一种用于管理和复用多个进程的技术或设计模式。在进程池中，一定数量的进程会被预先创建并保持在内存中，以便在需要时立即使用，而不是每次需要进程时都重新创建新的进程…
阅读更多...
同名在线查询系统微信小程序源码下载支持多种流量主，附带系统教程

同名在线查询系统微信小程序源码下载支持多种流量主，附带系统教程

同名在线查询系统微信小程序源码下载支持多种流量主这是一款支持查询同名的一款微信小程序 该款小程序支持多种查询模式 重名查询，热度查询，概率香查询 源码免费下载地址抄笔记(chaobiji.cn)
阅读更多...
LaTex 模板 - 东北师范大学申研申博推荐信

LaTex 模板 - 东北师范大学申研申博推荐信

文章目录 NENU-Letter-Template项目地址示例特性项目结构如何使用main.texletterContent.tex 如何编译方式 1 ：在线编译方式 2 ：本地编译 参考 NENU-Letter-Template NENU’s recommendation letter template. 东北师范大学推荐信模板 项目地址 GitHu…
阅读更多...
Linux驱动设备导论（1）

Linux驱动设备导论（1）

最近本人在学习Linux驱动，本系列教程是本人在一边学习，一边总结的系列教程，希望能够给很多刚学驱动小伙伴一些总结。 1.Linux设备分类 驱动针对的对象是存储器和外设，不是针对CPU，可以分为以下三大类： 1.…
阅读更多...
WordPress Country State City Dropdown CF7插件 SQL注入漏洞复现（CVE-2024-3495）

WordPress Country State City Dropdown CF7插件 SQL注入漏洞复现（CVE-2024-3495）

0x01 产品简介 Country State City Dropdown CF7插件是一个功能强大、易于使用的WordPress插件，它为用户在联系表单中提供国家、州/省和城市的三级下拉菜单功能，帮助用户更准确地填写地区信息。同时，插件的团队和支持也非常出色，为用户提供高质量的服务。 0x02 漏洞概述 …
阅读更多...
统计信号处理基础 习题解答10-4

统计信号处理基础 习题解答10-4

题目： 重复习题10.3，但条件PDF变为： 以及均匀先验。如果非常大，这样先验知识很少，则会出现什么情况。 解答： 如果记 那么，根据条件独立性质，得到： 其中，&am…
阅读更多...
蛮力法0/1背包问题实验

蛮力法0/1背包问题实验

实验项目1 蛮力法 实验题目 使用蛮力法解决0/1背包问题。 ​ 问题描述：给定n个重量(weight)为{w1, w2, … ,wn}、价值(key)为{v1, v2, … ,vn}的物品和一个**容量为C(contain)**的背包，求这些物品中的一个最有价值的子集，且要能够装到背包中…
阅读更多...
【活动】开源与闭源大模型：探索未来趋势的双轨道路

【活动】开源与闭源大模型：探索未来趋势的双轨道路

🌈个人主页: 鑫宝Code 🔥热门专栏: 闲话杂谈｜ 炫酷HTML | JavaScript基础 ​💫个人格言: "如无必要，勿增实体" 文章目录 开源与闭源大模型：探索未来趋势的双轨道路引言一、开源大模型&#…
阅读更多...
搭建访问阿里云百炼大模型环境

搭建访问阿里云百炼大模型环境

最近这波大降价，还有限时免费，还不赶快试试在线大模型？下面整理访问百炼平台的千问模型方法。 创建RAM子账号并授权 创建RAM子账号 1. “访问控制RAM”入口（控制台URL） 然后点击进入“RAM管理控制台” 2. 添加用户 …
阅读更多...
ASP+ACCESS多功能论坛程序设计

ASP+ACCESS多功能论坛程序设计

摘 要 随着计算机的广泛应用，人们已经对网络不再感到陌生。在科技飞速发展的今天，电脑信息技术与各行各业进行了有效的结合。人们在网上可以进行网上购物，网上交友，电子商务，网络营效等等。面对强大的网络功能&#x…
阅读更多...
使用nvm管理nodejs多个版本

使用nvm管理nodejs多个版本

在工作中，可能会遇到同时使用vue2和vue3开发项目，但他们的nodejs版本又不同，给你带来了困扰，不知道怎么办？这时就可以使用nvm管理多个nodejs版本 第一步：先去github上面下载nvm 这是下载地址：…
阅读更多...
C++完成特色旅游管理信息系统

C++完成特色旅游管理信息系统

背景： 继C完成淄博烧烤节管理系统后，我们来到了特色旅游管理信息系统的代码编写，历史链接点下方。 C完成淄博烧烤节管理系统_淄博烧烤总账管理系统的-CSDN博客 问题描述： 为了更好的管理各个服务小组，开发相应的管…
阅读更多...
学会这些大模型术语，你可以硬控朋友7.13分钟

学会这些大模型术语，你可以硬控朋友7.13分钟

你对于大型语言模型（LLMs）的复杂世界以及围绕它们的技术术语感到好奇吗？ 理解从训练和微调的基础方面到转换器和强化学习的尖端概念，是揭开驱动现代人工智能大语言模型神秘面纱的第一步。 在本文中，我们将深入探讨 25 …
阅读更多...
基于DdddOcr通用验证码离线本地识别SDK搭建个人云打码接口Api

基于DdddOcr通用验证码离线本地识别SDK搭建个人云打码接口Api

前言 最近介绍了一款免费的验证码识别网站，识别效率太低，考虑到ddddocr是开源的，决定搭建搭建一个，发现原作者sml2h3已经推出好久了，但是网上没有宝塔安装的教程，于是本次通过宝塔搭建属于自己的带带弟弟OCR通用验证码离线本地识别 原项目地址：https://github.com/sml2…
阅读更多...
m1系列芯片aarch64架构使用docker-compose安装rocketmq5.0以及运维控制台

m1系列芯片aarch64架构使用docker-compose安装rocketmq5.0以及运维控制台

之前看到 DockerHub 上有大佬制作了 m1 芯片, aarch64架构的 rocketmq 镜像, 所以就尝试的安装了下, 亲测可用: 一. docker-compose.yml 文件命令 volumes 挂载目录需要换成自己的目录 注意 depends_on 标签, broker 和 console 的 启动要晚于 namesrv, 因为 broker 需要注册…
阅读更多...
CentOS 7.9安装NVIDIA P40显卡驱动、CUDA和cuDNN

CentOS 7.9安装NVIDIA P40显卡驱动、CUDA和cuDNN

文章目录 1、安装P40显卡驱动1.1 查看机器上有哪些显卡1.2 禁用nouveau1.3 安装依赖1.4 安装驱动 2、安装CUDA2.1 安装2.2 测试是否安装成功 3、安装cuDNN3.1 安装3.2 测试是否安装成功 4、总结 1、安装P40显卡驱动 1.1 查看机器上有哪些显卡 lspci | grep -i vga lspci | gr…
阅读更多...
全局平均池化笔记

全局平均池化笔记

全局平均池化（Global Average Pooling, GAP）是一种用于卷积神经网络（CNN）中的池化操作，其主要作用和优点包括： 减少参数数量：全局平均池化层将每个特征图通过取其所有元素的平均值，压…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023