【文件属性】：
文件名称：malscan:在进程内存上运行YARA规则，并在匹配项上执行Python脚本
文件大小：784KB
文件格式：ZIP
更新时间：2021-05-19 05:30:50
C
恶意扫描
malscan是一种用于扫描进程内存以查找YARA匹配项并在找到匹配项后执行Python脚本的工具。
例如，这对于从恶意软件进程内存中提取配置很有用。
现实世界的例子
我们要提取PoisonIvy配置。 从逆向工程中，我们知道配置blob在PoisonIvy进程内的内存中以“ \ x08 \ x00StubPath”开头。
因此，我们编写了一个YARA规则来检测配置：
rule pi_config
{
meta :
plugin = " pi_config_extract "
strings :
$config_start = " \\ x08 \\ x00StubPath "
condition :
all of them
}
在元信息中，我们告诉malscan如果该规则匹配，则运行哪个插件。
【文件预览】：
malscan-master
----malscan()
--------memory_scanner.cpp(4KB)
--------malscan.cpp(1KB)
--------python_plugin.cpp(2KB)
--------CMakeLists.txt(488B)
--------utils.cpp(931B)
----.gitattributes(2KB)
----yarapp()
--------CMakeLists.txt(110B)
--------yarapp.cpp(1KB)
----CMakeLists.txt(280B)
----README.md(3KB)
----CMakeSettings.json(479B)
----libyara()
--------libyara32.lib(2.16MB)
--------include()
----.gitignore(4KB)
----include()
--------memory_scanner.h(845B)
--------python_plugin.h(949B)
--------utils.h(316B)
--------yarapp.h(516B)