MALICE: Analiza malware con múltiples antivirus

1. Introducción

Malice de blacktop es un multi-antivirus local que pretende ser un "Virustotal de código abierto" que todo el mundo pueda usar a cualquier escala, desde un único analista de malware hasta una gran compañía.

Está escrito en Go por lo que requerirás la versión 1.5 o superior y necesitarás también Docker ya que irá levantando contenedores para el análisis según los plugins habilitados, todos controlados por un contendedor supervisor con ELK (Elasticsearch, Logstash y Kibana).

Antes de nada te recomiendo que vayas a su github, en el podrás ver documentación y algunos ejemplos, también podrás apoyar al proyecto ya que vale la pena.

2. Instalación

En este caso vamos a instalar Malice en ElementaryOs 0.4

2.1. Instalar Docker

$ sudo apt-get update
$ sudo apt-get install apt-transport-https ca-certificates
$ sudo apt-key adv --keyserver hkp://p80.pool.sks-keyservers.net:80 --recv-keys 58118E89F3A912897C070ADBF76221572C52609D
$ echo "deb https://apt.dockerproject.org/repo ubuntu-trusty main" > sudo tee -a /etc/apt/sources.list.d/docker.list
$ sudo apt-get update
$ sudo apt-get install docker.io
$ sudo usermod -aG docker $USER #Deberás cerrar sesión para que se apliquen los cambios
$ docker --version
Docker version 1.12.1, build 23cf638

2.2. Instalar Malice

$ wget https://github.com/maliceio/malice/releases/download/v0.2.0-alpha/malice_0.2.0-alpha_linux_amd64.zip -O /tmp/malice.zip
$ sudo unzip /tmp/malice.zip -d /usr/local/bin/

Puedes obtener más información de la instalación en el github.

3. Uso

1º Descargamos un malware de prueba para analizar:
$ cd $HOME
$ mkdir malware
$ cd malware
$ wget http://www.eicar.org/download/eicar.com.txt

2º Escaneamos el archivo:
$ malice scan [Archivo]

Podremos redireccionar la salida a un archivo con:
$ malice scan [Archivo] > results.md

*La primera vez demorará bastante ya que tendrá que actualizar todos los plugins.

(?)- Para ver la lista de plugins usaremos:
$ malice plugin list

(?)- Si queremos ver los detalles:
$ malice plugin list --all --detail

(?)- Y para actualizarlos:
$ malice plugin update --all