Что это такое?
theZoo — это публичный репозиторий с живыми образцами вредоносного ПО и их исходным кодом. Он собран для того, чтобы любой, кто интересуется анализом малвари, мог изучать настоящие образцы в упорядоченном и удобном виде.
theZoo — это публичный репозиторий с живыми образцами вредоносного ПО и их исходным кодом. Он собран для того, чтобы любой, кто интересуется анализом малвари, мог изучать настоящие образцы в упорядоченном и удобном виде.Это просто свалка заражённых файлов или вокруг них есть полноценный инструмент?Инструмент есть: это консольное приложение на Python с базой данных, в которой можно искать, и оно обёрнуто вокруг упорядоченной коллекции зашифрованных бинарников вредоносного ПО и их исходников.
Инструмент есть: это консольное приложение на Python с базой данных, в которой можно искать, и оно обёрнуто вокруг упорядоченной коллекции зашифрованных бинарников вредоносного ПО и их исходников.Как его запустить?Склонируйте репозиторий через git, выполните в папке pip install --user -r requirements.txt, затем запустите интерактивную консоль командой python theZoo.py.
Склонируйте репозиторий через git, выполните в папке pip install --user -r requirements.txt, затем запустите интерактивную консоль командой python theZoo.py.Нужно ли что-то ещё, кроме Python?Нет — достаточно Python с pip; requirements.txt подтянет все библиотеки, которые нужны консоли.
Нет — достаточно Python с pip; requirements.txt подтянет все библиотеки, которые нужны консоли.Насколько опасно реально запускать эти образцы?Очень опасно. Образцы поставляются зашифрованными и заблокированными не просто так; в README настоятельно советуют запускать их только на виртуальной машине без доступа в интернет и без guest additions, потому что некоторые из них — черви, которые сами попытаются распространиться.
Очень опасно. Образцы поставляются зашифрованными и заблокированными не просто так; в README настоятельно советуют запускать их только на виртуальной машине без доступа в интернет и без guest additions, потому что некоторые из них — черви, которые сами попытаются распространиться.Это для профессиональных аналитиков или любопытному энтузиасту тоже подойдёт?И тем, и другим — проект рассчитан на всех, кто интересуется анализом вредоносного ПО: и на тех, кто делает это по работе, и на тех, кто хочет понять, как малварь устроена, или даже заблокировать конкретную угрозу в своей инфраструктуре. Только в образовательных целях.
И тем, и другим — проект рассчитан на всех, кто интересуется анализом вредоносного ПО: и на тех, кто делает это по работе, и на тех, кто хочет понять, как малварь устроена, или даже заблокировать конкретную угрозу в своей инфраструктуре. Только в образовательных целях.Код распространяется под обычной open source лицензией?Сам фреймворк распространяется под GNU GPL v3, но эта лицензия явно не распространяется на вредоносные образцы — ни сами образцы, ни их исходный код под неё не подпадают.
Сам фреймворк распространяется под GNU GPL v3, но эта лицензия явно не распространяется на вредоносные образцы — ни сами образцы, ни их исходный код под неё не подпадают.Там только бинарники или можно почитать и исходный код малвари?И то, и другое. В /malware/Binaries лежат живые образцы, а в /malware/Source — код двух типов: Original (предположительно утёкший оригинальный исходник, но без гарантий) и Reversed (реверснутый, декомпилированный или частично восстановленный код).
И то, и другое. В /malware/Binaries лежат живые образцы, а в /malware/Source — код двух типов: Original (предположительно утёкший оригинальный исходник, но без гарантий) и Reversed (реверснутый, декомпилированный или частично восстановленный код).Почему образцы зашифрованы, а пароль лежит отдельным файлом?Каждая запись — это зашифрованный ZIP-архив, рядом с которым хранятся его сумма SHA256, сумма MD5 и файл с паролем — так ничего не сможет сработать, пока вы сами осознанно его не распакуете.
Каждая запись — это зашифрованный ZIP-архив, рядом с которым хранятся его сумма SHA256, сумма MD5 и файл с паролем — так ничего не сможет сработать, пока вы сами осознанно его не распакуете.Как искать по коллекции, когда консоль уже запущена?Начиная с версии v0.60 консоль ищет по базе данных SQLite3 в свободном стиле, а записи индексируются по платформе и архитектуре; те же опции работают и как обычные аргументы командной строки в режиме argv.
Начиная с версии v0.60 консоль ищет по базе данных SQLite3 в свободном стиле, а записи индексируются по платформе и архитектуре; те же опции работают и как обычные аргументы командной строки в режиме argv.What are similar projects?awesome-malware-analysis, Stuxnet, Claude-Red, vmp-lazy-unpack, reverse-engineering, Detect-It-Easy, ghidra, vol-rs
awesome-malware-analysis, Stuxnet, Claude-Red, vmp-lazy-unpack, reverse-engineering, Detect-It-Easy, ghidra, vol-rsWhich topics is it in?malware, malware-analysis, infosec, virtualization, collection, reverse-engineering, cybersecurity, security-tools, research, education, security, terminal
malware, malware-analysis, infosec, virtualization, collection, reverse-engineering, cybersecurity, security-tools, research, education, security, terminal