如何使用Umay分析物聯(lián)網(wǎng)惡意軟件的相似性
關(guān)于Umay
Umay是一款功能強(qiáng)大的物聯(lián)網(wǎng)惡意軟件相似性分析平臺(tái)，該項(xiàng)目可以幫助廣大研究人員針對(duì)基于共享代碼的物聯(lián)網(wǎng)惡意軟件相似性進(jìn)行分析，以識(shí)別與目標(biāo)分析文件共享代碼的其他惡意軟件。
在Umay的幫助下，廣大研究人員可以更好地了解目標(biāo)惡意軟件家族。而在當(dāng)前的物聯(lián)網(wǎng)生態(tài)系統(tǒng)中有各種具有不同體系結(jié)構(gòu)的設(shè)備，那么在解決多體系結(jié)構(gòu)問(wèn)題時(shí)，基于靜態(tài)的分析方法將更加有效。
該項(xiàng)目中使用了IoTPOT提供的1000個(gè)惡意軟件二進(jìn)制文件。Radare2負(fù)責(zé)提取每個(gè)二進(jìn)制文件的基本代碼塊和函數(shù)，并將這些數(shù)據(jù)的哈希值存儲(chǔ)在SQL數(shù)據(jù)庫(kù)中。接下來(lái)，工具會(huì)從SQL數(shù)據(jù)庫(kù)中查詢(xún)并獲取需要分析的樣本基本代碼塊和函數(shù)，并給廣大研究人員枚舉出所有具有共享代碼的惡意軟件。
當(dāng)前功能
- 基于靜態(tài)代碼分析技術(shù)分析惡意軟件的共享代碼;
- 支持ARM、MIPS、x86-64、i386、PowerPC、m68k和Renesas SH;
工具依賴(lài)組件
- Python 3+
- Radare2：r2pipe
工具下載&安裝
首先，廣大研究人員需要使用下列命令將該項(xiàng)目源碼克隆至本地，并在終端中切換至項(xiàng)目根目錄：
- git clone https://github.com/mucoze/Umay
- cd Umay
接下來(lái)，創(chuàng)建并激活Python虛擬環(huán)境(virtualenv)：
- virtualenv venv
- source venv/bin/activate
使用pip命令安裝該工具所需的依賴(lài)組件：
- pip install -r requirements.txt
此時(shí)，我們就可以使用下列命令配置工具，創(chuàng)建用戶(hù)并啟動(dòng)服務(wù)器了：
- python manage.py makemigrations
- python manage.py migrate
- python manage.py createsuperuser
- python manage.py runserver
啟動(dòng)之后，廣大研究人員就可以通過(guò)瀏覽器訪問(wèn)“127.0.0.1:8000”來(lái)使用Umay了。
創(chuàng)建我們自己的數(shù)據(jù)集文件
- python create_dataset.py samples/
在上述命令中，我們需要通過(guò)命令行參數(shù)的形式將存儲(chǔ)了所有樣本的目錄路徑提供給Umay，此時(shí)Umay將會(huì)幫助我們生成一份dataset.db文件。
許可證協(xié)議
本項(xiàng)目的開(kāi)發(fā)與發(fā)布遵循Apache v2.0開(kāi)源許可證協(xié)議。
工具線上體驗(yàn)平臺(tái)
Umay：【在線體驗(yàn)】
項(xiàng)目地址
Umay：【GitHub傳送門(mén)】
