Detector de ficheros encriptados, ofuscados y malware.

Publicado: 13 Octubre 2014 | Escrito por Javier Orovengua | Correo electrónico | Visto: 5189

Ratio: 5 / 5

En otro momento, hemos hablado de: Instalar Linux Malware Detect (LMD) que es un elemento importante a usar de forma conjunta con esta otra que le vamos a presentar. neopy.py

El script de Python neopy.py, es una utilidad que sirve sobre todo para buscar ficheros "sospechosos", que no lo hace maldet por dos principales razones, estar encriptado o ser un fichero ofuscado.

Por favor, lee nuestro artículo: Instalar Linux Malware Detect (LMD) en RHEL, CentOS y Fedora

La utilidad tiene un sistema de ayuda, escribiendo neopy.py --help

[javier@localhost ~]$ neopi.py --help

) ( (
( /( )\ ))\ )
)\()) ( (()/(()/(
((_)\ ))\ ( /(_))(_))
_((_)/((_))\(_))(_))
| \| (_)) ((_) _ \_ _|
| .` / -_) _ \ _/| |
|_|\_\___\___/_| |___| Ver. *.USEGIT

Usage: neopi.py [options]  

Options:
  --version             show program's version number and exit
  -h, --help            show this help message and exit
  -c FILECSV, --csv=FILECSV
                        generate CSV outfile
  -a, --all             Run all (useful) tests [Entropy, Longest Word, IC,
                        Signature]
  -z, --zlib            Run compression Test
  -e, --entropy         Run entropy Test
  -E, --eval            Run signiture test for the eval
  -l, --longestword     Run longest word test
  -i, --ic              Run IC test
  -s, --signature       Run signature test
  -S, --supersignature  Run SUPER-signature test
  -A, --auto            Run auto file extension tests
  -u, --unicode         Skip over unicode-y/UTF'y files
[javier@localhost ~]$

El script no lo he conseguido encontrar, y con el temor que desaparezca me he tomado el trabajo de hacer una copia en un artículo para que todos podamos usarlo, bastará copiarlo, pegarlo y darle permisos de ejecución.

La mejor forma de escanar un sitio web es escribir: ./neopy.py -a carpeta/

Te mostrará un resultado con informes de ficheros, que tienen algo que el script considera deberías revisar. (en Top 10) -te mostrará muchas, algunos serán "falsos positivos".

Espero que te sirva, si crees tienes ficheros que te pueden estar haciendo algo extraño.