Libx Awesomeリスト

    このページの内容

    Awesome Malware Analysis

    Malware Analysisを扱う資料や関連プロジェクトをまとめたAwesomeリストです。

    マルウェア収集 {#malware-collection}

    匿名化サービス {#anonymizers}

    アナリスト向けのウェブトラフィック匿名化ツール。

    • Anonymouse.org - 無料のウェブベースの匿名化ツール
    • OpenVPN - VPNソフトウェアおよびホスティングソリューション
    • Privoxy - プライバシー機能を備えたオープンソースプロキシサーバー
    • Tor - ウェブ閲覧時にクライアントIPアドレスの痕跡を残さないためのオンイオンルーター

    ハニーポット {#honeypots}

    自らのサンプルをキャッチして収集する。

    • Conpot - ICS/SCADA用のハニポット
    • Cowrie - キッポに基づくSSHハニポット
    • DemoHunter - 低相互作用型の分散ハニポット
    • Dionaea - マルウェアを捕らえるために設計されたハニポット
    • Glastopf - ウェブアプリケーション用のハニポド
    • Honeyd - 仮想ハニネットを構築
    • HoneyDrive - ハニポット用のオープンソースLinuxディストリビューション
    • Honeytrap - ハニポットの実行・監視・管理を行うオープンソースシステム
    • MHN - MHNは、ハニポットの管理およびデータ収集を行う中央サーバーです。MHNにより、センサーの迅速な展開と即時データ収集が可能であり、見やすいウェブインターフェースからデータを確認できます
    • Mnemosyne - ハニポットデータを標準化するツール；Dionaeaをサポート
    • Thug - 悪意のあるウェブサイトを調査するための低相互作用ハニクライアント

    マルウェアコーパス {#malware-corpora}

    *分析用に収集されたマルウェアサンプル。

    • Clean MX - リアルタイムで更新されるマルウェアおよび悪意のあるドメインデータベース
    • Contagio - 最近のマルウェアサンプルおよび分析結果のコレクション
    • Exploit Database - エクスプロイトおよびシェルコードサンプル
    • Infosec - CERT-PA - マルウェアサンプルの収集および分析
    • InQuest Labs - 悪意のあるマイクロソフトドキュメントの膨大な検索可能なコーパス
    • Javascript Mallware Collection - ほぼ40,000のJavaScriptマルウェアサンプルを収集したコレクション
    • Malpedia - マルウェア調査において迅速に識別し、実行可能なコンテキストを提供するリソース
    • Malshare - 悪意のあるサイトから積極的にスクレイピングされたマルウェアの大量リポジトリ
    • Ragpicker - 事前分析と報告機能を備えたプラグインベースのマルウェアクロールツール
    • theZoo - アナリスト向けのリアルタイムマルウェアサンプル
    • Tracker h3x - マルウェアコロポリストラッカーおよび悪意のあるダウンロードサイトのアグレゲーター
    • vduddu malware repo - 多様なマルウェアファイルおよびソースコードのコレクション
    • VirusBay - コミュニティベースのマルウェアリポジトリとソーシャルネットワーク
    • ViruSign - 多くのアンチマルウェアプログラム（ClamAVを除く）で検出されたマルウェアデータベース
    • VirusShare - マルウェアリポジトリ（登録が必要)
    • VX Vault - アクティブに進行中のマルウェアサンプルの収集
    • Zeltser’s Sources - Lenny Zeltserがまとめたマルウェアサンプルソースの一覧
    • Zeus Source Code - 2011年に漏洩されたZeusトロイドの情報源
    • VX Underground - 大量で成長中の無料マルウェアサンプルコレクション

    オープンソース脅威インテリジェンス {#open-source-threat-intelligence}

    ツール {#tools}

    *IOCsの収集と分析。

    • AbuseHelper - 悪用フィードおよび脅威情報を受け取り、再配布するためのオープンソースフレームワーク
    • AlienVault Open Threat Exchange - 脅威インテリジェンスの開発における共有と協働
    • Combine - 公開されているソースから脅威インテリジェンスインジケーターを収集するツール
    • Fileintel - ファイルハッシュごとのインテリジェンスを取得する
    • Hostintel - ホストごとのインテリジェンスの取得
    • IntelMQ - CERT向けにメッセージキューを使用してインシデントデータを処理するツール
    • IOC Editor - XML IOCファイルを編集する無料ツール
    • iocextract - 高度な脅威インジケーター（IOC）抽出ツール、Pythonライブラリおよびコマンドラインツール
    • ioc_writer - マディアンから提供されるOpenIOCオブジェクトを扱うPythonライブラリ
    • MalPipe - マルウェア/IOCの取り込みおよび処理エンジン。収集データを豊かに補強する
    • Massive Octo Spice - 以前はCIF（Collective Intelligence Framework）と呼ばれていた。さまざまなリストからIOCを集約。CSIRT Gadgets Foundationがキュレーションしている
    • MISP - マルウェア情報共有 プラットフォーム。 The MISP Projectがキュレーションしている。
    • Pulsedive - オープンソースフィードからIOCを収集する無料でコミュニティが運営する脅威情報プラットフォーム
    • PyIOCe - PythonによるOpenIOCエディタ
    • RiskIQ - IPおよびドメインの調査・接続・タグ付け・共有。 （以前はPassiveTotalだった）
    • threataggregator - さまざまなソースからセキュリティ脅威を集約。以下に挙げられているものも含まれる other resources
    • ThreatConnect - TC Openは、オープンソース脅威データを閲覧・共有できるようにし、無料コミュニティによるサポートと検証を提供しています
    • ThreatCrowd - 脅威に関する検索エンジンに加え、グラフィカルな可視化を提供
    • ThreatIngestor - Twitter、RSS、GitHubなどから情報を取り込み、自動化された脅威情報パイプラインを構築
    • ThreatTracker - Google Custom Search EnginesでインデックスされたIOCに基づき、監視およびアラートを生成するPythonスクリプト
    • TIQ-test - 脅威情報フィードのデータ可視化および統計解析

    その他のリソース {#other-resources}

    *脅威インテリジェンスおよびIOCsリソース。

    検知・分類 {#detection-and-classification}

    *アンチウイルスおよびその他のマルウェア識別ツール

    • AnalyzePE - Windows PEファイルに関するさまざまなツールをラッピングしたツール
    • Assemblyline - サイバーセキュリティコミュニティが提供する最良のツールを統合したスケーラブルなファイル分類およびマルウェア分析システム
    • BinaryAlert - YARAルールに基づいてアップロードされたファイルをスキャンし、警告を発行するオープンソース・サーバレスAWSパイプライン
    • capa - 実行ファイル内の機能を検出
    • chkrootkit - ローカルLinuxのルートキット検出
    • ClamAV - オープンソースのアンチウイルスエンジン
    • Detect It Easy(DiE) - ファイルの種類を特定するプログラム
    • Exeinfo PE - パッカー、圧縮器検出、展開情報、内部の実行ファイルツール
    • ExifTool - ファイルメタデータの読み取り、書き込み、編集
    • File Scanning Framework - モジュール化された再帰的ファイルスキャンソリューション
    • fn2yara - FN2Yaraは、実行プログラム内の関数（コード）をマッチさせるYARA署名を生成するツール
    • Generic File Parser - 1つのライブラリでメタ情報、静的解析、ファイル内のマクロを抽出・検出するツール
    • hashdeep - さまざまなアルゴリズムでハッシュ値を計算
    • HashCheck - Windowsシェル拡張機能で、さまざまなアルゴリズのハッシュ値を計算
    • Loki - IOCsを対象としたホストベーススキャナー
    • Malfunction - 関数レベルでのマルウェアのカタログ化と比較
    • Manalyze - PE実行ファイルの静的解析ツール
    • MASTIFF - 静的解析フレームワーク
    • MultiScanner - モジュール化されたファイルスキャン／解析フレームワーク
    • Nauz File Detector(NFD) - Windows、LinuxおよびMacOS向けのリンク・コンパイラ・ツール検出ツール
    • nsrllookup - NISTのNational Software Reference Libraryデータベースにおけるハッシュの検索ツール
    • packerid - PEiDのクロスプラットフォームPython版
    • PE-bear - PEファイル用の逆アセンブルツール
    • PEframe - PEframeは、Portable Executableマルウェアおよび悪意のあるMSオフィスドキュメントに対して静的解析を行うオープンソースツールです
    • PEV - PEファイルを扱うマルチプラットフォームツールキットで、危険なバイナリの適切な分析に特化した豊富なツールを提供
    • PortEx - PEファイルを分析するためのJavaライブラリで、特にマルウェア分析およびPEの異常性に対する耐性に焦点を当てています
    • Quark-Engine - オブフュセーションを無視するAndroidマルウェア評価システム
    • Rootkit Hunter - Linuxのルートキットの検出
    • ssdeep - ふんずハッシュの計算
    • totalhash.py - データベースの簡単な検索用Pythonスクリプト TotalHash.cymru.com
    • TrID - ファイル識別ツール
    • YARA - アナリスト向けのパターンマッチングツール
    • Yara rules generator - マルウェアサンプルセットに基づいてYARAルールを生成。また、誤検出を回避するための優れたストリングDBを含んでいます
    • Yara Finder - さまざまなYARAルールに対してファイルをYARAでマッチさせ、疑わしいインジケーターを検出するためのシンプルなツール

    オンラインスキャナー・サンドボックス {#online-scanners-and-sandboxes}

    ウェブベースのマルチAVスキャナーおよび、自動分析用のマルウェアサンドボックス

    • anlyz.io - オンラインサンドボックス
    • any.run - オンラインインタラクティブサンドボックス
    • AndroTotal - 複数のモバイルアンチウイルスアプリでAPKの無料オンライン分析
    • BoomBox - PackerおよびVagrantを使用したCuckoo Sandboxマルウェア実験環境の自動展開
    • Cryptam - 疑わしいオフィスドキュメントの分析
    • Cuckoo Sandbox - オープンソース・セルフホスト型サンドボックスおよび自動分析システム
    • cuckoo-modified - GPLに従ったCuckoo Sandboxの改良版。著者が法的懸念を示したため、アップストリームにマージされなかった。
    • cuckoo-modified-api - Cuckooを改良したサンドボックスを制御するためのPython API。
    • DeepViz - 機械学習による分類を用いたマルチフォーマットファイル分析ツール。
    • detux - Linuxマルウェアのトラフィック分析およびIOCsのキャプチャを行うために開発されたサンドボックス。
    • DRAKVUF - 動的マルウェア分析システム。
    • filescan.io - 静的マルウェア分析、VBA/Powershell/VBS/JSのエミュレーション。
    • firmware.re - ほぼすべてのファームウェアパッケージを展開し、スキャン・分析する。
    • HaboMalHunter - Linux ELFファイルに対する自動マルウェア分析ツール。
    • Hybrid Analysis - VxSandboxを用いたオンラインマルウェア分析ツール。
    • Intezer - コードの再利用や類似性を検出することで、マルウェアを検出・分析・分類。
    • IRMA - 不審ファイルに対する非同期かつカスタマイズ可能な分析プラットフォーム。
    • Joe Sandbox - ジョー・サンドボックスによる深層マルウェア分析。
    • Jotti - 無料のオンラインマルウェアスキャナー。
    • Limon - Linuxマルウェアを分析するためのサンドボックス。
    • Malheur - マルウェアの行動を自動でサンドボックス化して分析。
    • malice.io - 大規模にスケーラブルなマルウェア分析フレームワーク。
    • malsub - オンラインマルウェアおよびURL分析サービス向けのPython RESTful APIフレームワーク。
    • Malware config - 一般的なマルウェアから構成設定を抽出・解読・オンライン表示。
    • MalwareAnalyser.io - データマイニングおよび機械学習を用いたヒューリスティック検出エンジンを搭載したオンラインマルウェア異常検出静的分析ツール。
    • Malwr - 無料のオンラインCuckoo Sandboxインスタンスによる分析。
    • MetaDefender Cloud - ファイル、ハッシュ、IPアドレス、URLまたはドメインをスキャンしてマルウェアを無料で検出
    • NetworkTotal - pcapファイルを分析し、Suricata（EmergingThreats Proで構成）を用いてウイルス、ウルス、トロイド、およびすべてのマルウェアを迅速に検出するサービス
    • Noriben - Sysinternals Procmonを使用して、サンドボックス環境内でマルウェアに関する情報を収集
    • PacketTotal - PacketTotalは.pcapファイルを分析し、ネットワークトラフィックを可視化するオンラインエンジン
    • PDF Examiner - 怪しいPDFファイルを分析
    • ProcDot - グラフィカルなマルウェア分析ツールキット
    • Recomposer - バイナリを安全にサンドボックスサイトにアップロードするためのヘルパースクリプト
    • sandboxapi - 複数のオープンソースおよび商用マルウェアサンドボックスとの統合を構築するためのPythonライブラリ
    • SEE - サンドボックス実行環境（SEE）は、セキュアな環境内でテスト自動化を構築するためのフレームワーク
    • SEKOIA Dropper Analysis - オンラインドロッパー分析（JavaScript、VBScript、Microsoft Office、PDF）
    • VirusTotal - マルウェアサンプルおよびURLの無料オンライン分析
    • Visualize_Logs - ログの可視化ライブラリおよびコマンドラインツール（Cuckoo、Procmon、さらに追加予定）
    • Zeltser’s List - Lenny Zeltserがコンパイルした無料自動サンドボックスおよびサービス

    ドメイン分析 {#domain-analysis}

    ドメインとIPアドレスを確認する。

    • AbuseIPDB - AbuseIPDBは、インターネット上のハッカー、スパマー、悪用行為の拡散を防ぐために貢献するプロジェクト
    • badips.com - コミュニティベースのIPブラックリストサービス
    • boomerang - ネットワーク外のウェブリソースを一貫かつ安全にキャプチャするためのツール
    • Cymon - 脅威インテリジェンストラッカー（IP/ドメイン/ハッシュ検索）
    • Desenmascara.me - ウェブサイトのメタデータを最大限に取得し、その信頼性を評価するワンクリックツール
    • Dig - 無料オンラインdigおよびその他のネットワークツール
    • dnstwist - タイプミスによるスquatting、フィッシング、企業間のスパイを検出するドメイン名の並べ替えエンジン
    • IPinfo - IPやドメインについての情報をオンラインリソースを検索することにより収集する
    • Machinae - URL、IP、ハッシュについての情報を収集するOSINTツール。Automatorに類似。
    • mailchecker - 複数言語対応の一時メール検出ライブラリ。
    • MaltegoVT - VirusTotal API向けのMaltego変換。ドメイン/IPの調査やファイルハッシュおよびスキャンレポートの検索を可能にする。
    • Multi rbl - 300以上のRBLによる複数DNSブラックリストと、逆DNS検索の確認。
    • NormShield Services - フィッシングドメイン、ブラックリストIP、漏洩アカウントの検出を可能にする無料APIサービス。
    • PhishStats - IP、ドメイン、ウェブサイトタイトルの検索によるフィッシング統計。
    • Spyse - サブドメイン、WHOIS、関連ドメイン、DNS、ホストAS、SSL/TLS情報。
    • SecurityTrails - 過去および現在のWHOIS、過去および現在のDNSレコード、類似ドメイン、証明書情報、その他ドメインおよびIP関連のAPIとツール。
    • SpamCop - IPベースのスパムブロックリスト。
    • SpamHaus - ドメインおよびIPに基づくブロックリスト。
    • Sucuri SiteCheck - 無料のウェブサイトマルウェアおよびセキュリティスキャナー。
    • Talos Intelligence - IP、ドメイン、ネットワーク所有者を検索する。（以前はSenderBase。）
    • TekDefense Automater - URL、IP、ハッシュについての情報を収集するOSINTツール。
    • URLhaus - abuse.chのプロジェクトで、マルウェア配布に使われている悪意のあるURLを共有することを目的としている。
    • URLQuery - 無料URLスキャナー。
    • urlscan.io - 無料URLスキャナーおよびドメイン情報。
    • Whois - DomainToolsの無料オンラインWHOIS検索。
    • Zeltser’s List - Lenny Zeltserがまとめた、悪意のあるウェブサイトを調査するための無料オンラインツール。
    • ZScalar Zulu - Zulu URLリスク分析ツール。

    ブラウザーマルウェア {#browser-malware}

    悪意のあるURLを分析する。また、domain analysisおよびdocuments and shellcodeセクションも参照してください。

    • Bytecode Viewer - 複数のJavaバイトコード閲覧ツールおよびデコンパイラを1つのツールに統合。APK/DEX対応を含む。
    • Firebug - ウェブ開発用のFirefox拡張機能。
    • Java Decompiler - Javaアプリケーションのデコンパイルおよび検証。
    • Java IDX Parser - Java IDXキャッシュファイルの解析。
    • JSDetox - JavaScriptマルウェア分析ツール。
    • jsunpack-n - ブラウザ機能をエミュレートするJavaScript解包ツール。
    • Krakatau - Javaのデコンパイラ、アセンブラー、ディアセンブラー。
    • Malzilla - 悪意のあるウェブページの分析。
    • RABCDAsm - 「強固なActionScriptバイトコードディアセンブラー」。
    • SWF Investigator - SWFアプリケーションの静的および動的分析。
    • swftools - Adobe Flashファイルを扱うためのツール。
    • xxxswf - Flashファイルを分析するPythonスクリプト。

    文書・シェルコード {#documents-and-shellcode}

    PDFやオフィスドキュメントから悪意あるJavaScriptおよびシェルコードを分析します。詳しくはbrowser malwareセクションもご参照ください。

    • AnalyzePDF - PDFを分析し、悪意があるかどうかを判定するツール。
    • box-js - JavaScriptマルウェアを研究するツール。JScript/WScript対応およびActiveXエミュレーションを備える。
    • diStorm - 悪意のあるシェルコードを分析するディアセンブラー。
    • InQuest Deep File Inspection - Deep File Inspectionおよびヒューリスティック分析用の一般的なマルウェア誘導物をアップロード。
    • JS Beautifier - JavaScriptの解包およびデオブフリケーション。
    • libemu - x86シェルコードエミュレーション用のライブラリおよびツール。
    • malpdfobj - 悪意のあるPDFをJSON表現に分解。
    • OfficeMalScanner - MS Officeドキュメントに悪意のあるトレースをスキャン。
    • olevba - OLEおよびOpenXMLドキュメントをパースし、有用な情報を抽出するスクリプト
    • Origami PDF - 悪意のあるPDFを分析するツール、その他
    • PDF Tools - Didier Stevensによるpdfid、pdf-parserなど
    • PDF X-Ray Lite - PDF分析ツール、PDF X-RAYのバックエンドなしバージョン
    • peepdf - 悪意ある可能性のあるPDFを探索するPythonツール
    • QuickSand - QuickSandは、悪意あるドキュメントを分析し、異なるエンコーディングのストリームにおけるエクスプロイトを特定し、埋め込まれた実行ファイルを検出・抽出するためのコンパクトなCフレームワーク
    • Spidermonkey - MozillaのJavaScriptエンジン、悪意あるJSのデバッグに使用

    ファイルカービング {#file-carving}

    ディスクおよびメモリイメージ内のファイルを抽出するためのツール。

    • bulk_extractor - 高速ファイルカービングツール
    • EVTXtract - raw binaryデータからWindowsイベントログファイルをカービング
    • Foremost - 米国空軍が開発したファイルカービングツール
    • hachoir3 - Hachoirは、バイナリストリームをフィールドごとに閲覧・編集するPythonライブラリ
    • Scalpel - 別のデータカービングツール
    • SFlock - ネストされたアーカイブの抽出・展開（Cuckoo Sandboxで使用）

    難読化解除 {#deobfuscation}

    XORの逆算およびその他のコードの複雑化手法。

    • Balbuzard - 悪意あるコードの逆アセンブル（XOR、ROLなど）を行うマルウェア分析ツール、その他
    • de4dot - .NETのデオブフスクエーターおよびアンパッキングツール
    • ex_pe_xor & iheartxor - Alexander Hanelが開発した、1バイトXORエンコードファイルを扱う2つのツール
    • FLOSS - FireEye Labsのオブフューズ済み文字解決ツールは、マルウェアバイナリからオブフューズされた文字を自動的にデオブフューズするための高度な静的解析技術を使用
    • NoMoreXOR - 頻度分析を用いて256バイトのXORキーを推定
    • PackerAttacker - Windowsマルウェア向けの一般用途の隠されたコード抽出ツール
    • PyInstaller Extractor - PyInstallerで生成されたWindows実行ファイル内のコンテンツを抽出するPythonスクリプト。実行ファイル内にあるpyzファイル（通常はpycファイル）のコンテンツも抽出され、自動的に修正され、Pythonバイトコードデコンパイラが認識できるようになる
    • uncompyle6 - マルウェアのバージョンを問わず動作するPythonバイトコードデコンパイラ。Pythonバイトコードを同等のPythonソースコードに変換
    • un{i}packer - Windowsバイナリ向けの自動かつプラットフォームに依存しないアンパッキングツール（エミュレーションベース）
    • unpacker - Windowsマルウェア向けのWinAppDbgをベースとした自動マルウェアアンパッキングツール
    • unxor - 既知平文攻撃を用いたXOR鍵の推測
    • VirtualDeobfuscator - 仮想化ラッパー向けの逆エンジニアリングツール
    • XORBruteForcer - 1バイトXOR鍵をブートフォースで試行するPythonスクリプト
    • XORSearch & XORStrings - Didier Stevensが開発したXORデータを検出するプログラムのいくつか
    • xortool - XOR鍵の長さおよび鍵自体を推測

    デバッグ・リバースエンジニアリング {#debugging-and-reverse-engineering}

    ディスアセンブル、デバッガーやその他の静的および動的解析ツール。

    • angr - UCSBのSeclabで開発されたプラットフォームに依存しないバイナリ分析フレームワーク
    • bamfdetect - ボットやその他のマルウェアから情報の特定と抽出
    • BAP - CMUのCylabで開発されたマルチプラットフォームかつオープンソース（MIT）バイナリ分析フレームワーク
    • BARF - マルチプラットフォームかつオープンソース（MIT）バイナリ分析および逆エンジニアリングフレームワーク
    • binnavi - グラフ可視化をベースとした逆エンジニアリング用バイナリ分析IDE
    • Binary ninja - IDAの代替としての逆エンジニアリングプラットフォーム
    • Binwalk - ファイアウォール分析ツール
    • BluePill - 回避されたマルウェアおよび保護された実行ファイルの実行・デバッグを可能にするフレームワーク
    • Capstone - 多数のアーキテクチャおよび複数の言語でのバインディングをサポートするバイナリ分析および逆エンジニアリング用ディスアセンブリフレームワーク
    • codebro - clangを用いたウェブベースのコードブラウザで基本的なコード分析を提供
    • Cutter - Radare2用のGUI
    • DECAF (Dynamic Executable Code Analysis Framework) - QEMUをベースとしたバイナリ分析プラットフォーム。DroidScopeは現在DECAFの拡張として機能しています
    • dnSpy - .NETアセンブリエディタ、ディコンパイラ、デバッガー
    • dotPeek - 無料の.NETディコンパイラおよびアセンブリブラウザ
    • Evan’s Debugger (EDB) - モジュール化されたデバッガーソフトウェアで、Qt GUIを備えている。
    • Fibratus - Windowsカーネルの探索およびトレースを行うツール。
    • FPort - 実行中のシステムにおけるTCP/IPおよびUDPポートを報告し、それらを所有するアプリケーションにマッピングする。
    • GDB - GNUデバッガー。
    • GEF - 攻撃者および逆エンジニア向けのGDB拡張機能。
    • Ghidra - 米国国家安全保障局（NSA）研究部門が開発・維持しているソフトウェア逆エンジニアリング（SRE）フレームワーク。
    • hackers-grep - PE実行ファイル内の文字列を検索するためのユーティリティ。インポート、エクスポート、デバッグシンボルを含む。
    • Hopper - macOSおよびLinux用のディアセンブルツール。
    • IDA Pro - Windows用のディアセンブルおよびデバッガーソフトウェア。無料評価版を提供。
    • IDR - インタラクティブなDelphiリコンストラクタは、Delphi実行ファイルおよび動的ライブラリをデコンパイルするツール。
    • Immunity Debugger - マルウェア分析などに使用されるデバッガーで、Python APIを備える。
    • ILSpy - ILSpyはオープンソースの.NETアセンブリブラウザおよびデコンパイラ。
    • Kaitai Struct - ファイルフォーマット／ネットワークプロトコル／データ構造の逆エンジニアリングおよびディスセクション用のDSL。C++、C#、Java、JavaScript、Perl、PHP、Python、Ruby向けのコード生成をサポート。
    • LIEF - LIEFは、ELF、PE、MachOフォーマットをパース・変更・抽象化するためのクロスプラットフォームライブラリ。
    • ltrace - Linux実行ファイル向けの動的解析ツール
    • mac-a-mal - macOSマルウェア検出を自動化するフレームワーク。
    • objdump - GNU binutilsの一部で、Linuxバイナリの静的解析を行う。
    • OllyDbg - Windows実行ファイル用のアセンブリレベルデバッガー。
    • OllyDumpEx - (展開された)マルウェアWindowsプロセスからメモリをダンプし、原始データまたは再構築されたPEファイルを保存。これはOllyDbg、Immunity Debugger、IDA Pro、WinDbg、x64dbgのプラグイン。
    • PANDA - アーキテクチャに依存しない動的解析プラットフォーム
    • PEDA - GDB向けのPython攻撃開発支援ツール。追加コマンドを備えた強化された表示を提供。
    • pestudio - Windows実行ファイルの静的解析を行う。
    • Pharos - ファロスバイナリ分析フレームワークは、バイナリの自動静的解析を行うために使用できる
    • plasma - x86/ARM/MIPS向けのインタラクティブディスアセンブラー
    • PPEE (puppy) - 逆転解析者・マルウェア研究者・PEファイルを詳細に静的に検証したい人向けのプロフェッショナルPEファイルエクスプローラ
    • Process Explorer - Windows向けの高度なタスクマネージャ
    • Process Hacker - システムリソースを監視するツール
    • Process Monitor - Windowsアプリケーション向けの高度な監視ツール
    • PSTools - Windowsコマンドラインツールでライブシステムの管理と調査を支援
    • Pyew - マルウェア分析用のPythonツール
    • PyREBox - CiscoのTalosチームが開発した、スクリプト可能なマルウェア逆転解析サンドボックス
    • Qiling Framework - バイナリ分析用のインストルメンテーションを備えたクロスプラットフォームエミュレーションおよびサンドボックスフレームワーク
    • QKD - QEMUに内蔵されたWinDbgサーバーを備えた、ステルスデバッグツール
    • Radare2 - デバッガースポートを備えた逆転解析フレームワーク
    • RegShot - レジストリのスナップショットを比較するユーティリティ
    • RetDec - リターゲット可能なマシンコードデコンパイラー。 オンライン逆コンパイルサービスと、 ツールへ組み込めるAPIを提供する。
    • ROPMEMU - 複雑なコードリユース攻撃を分析・分解・デコンパイルするためのフレームワーク
    • Scylla Imports Reconstructor - 展開・ダンプされたPE32マルウェアのIATを検出し、修正するツール
    • ScyllaHide - OllyDbg、x64dbg、IDA Pro、TitanEngine向けのAnti-Anti-Debugライブラリとプラグイン
    • SMRT - Sublime 3向けのマルウェア研究プラグイン、マルウェア分析を支援
    • strace - Linux実行ファイル向けの動的解析ツール
    • StringSifter - マルウェア分析における関連性に基づいて文字列を自動的にランク付けする機械学習ツール
    • Triton - 動的バイナリ分析（DBA）フレームワーク
    • Udis86 - x86およびx86_64向けのディスアセンブラライブラリとツール
    • Vivisect - マルウェア分析用のPythonツール
    • WinDbg - Microsoft Windowsコンピュータオペレーティングシステム向けのマルチ用途デバッガ。ユーザーモードアプリケーション、デバイスドライバー、カーネルモードメモリダンプのデバッグに使用
    • X64dbg - Windows向けのオープンソースx64/x32デバッガー

    ネットワーク {#network}

    ネットワーク相互作用を分析する。

    • Bro - ファイルおよびネットワークプロトコルを対象としたスケールの大きなプロトコル分析ツール
    • BroYara - BroからYaraルールを使用
    • CapTipper - 悪意あるHTTPトラフィック探索ツール
    • chopshop - プロトコル分析およびデコードフレームワーク
    • CloudShark - パケット分析およびマルウェアトラフィック検出を可能にするウェブベースツール
    • FakeNet-NG - 次世代動的ネットワーク分析ツール
    • Fiddler - ウェブデバッグ用のインターセプトウェブプロキシ
    • Hale - ボットネットC&C監視ツール
    • Haka - プロトコルの記述および（リアルタイムでキャプチャされた）トラフィック上のセキュリティポリシーの適用を目的としたオープンソースセキュリティ指向言語
    • HTTPReplay - PCAPファイルのパースおよび読み出し用のライブラリ。TLSストリームもTLSマスターシークツ（Cuckoo Sandboxで使用）を用いて処理
    • INetSim - ネットワークサービスのエミュレーション。マルウェア実験環境を構築する際に有用
    • Laika BOSS - Laika BOSSは、ファイル中心のマルウェア分析およびインシデント検知システム
    • Malcolm - Malcolmは、フルパケットキャプチャアーテファクト（PCAPファイル）およびZeekログに適用可能な強力で容易に展開できるネットワークトラフィック分析ツールセット
    • Malcom - マルウェア通信分析ツール
    • Maltrail - 悪意あるトラフィック検知システム。公開されている（ブラック）リストに悪意あるおよび/または一般的に疑わしいトラフィックを含み、報告および分析インターフェースを備えている
    • mitmproxy - リアルタイムでネットワークトラフィックをインターセプト
    • Moloch - IPv4トラフィックのキャプチャ、インデックス化およびデータベースシステム
    • NetworkMiner - ネットワークフォレンジック分析ツール（無料版あり）
    • ngrep - ネットワークトラフィックをgrepのように検索
    • PcapViz - ネットワークトポロジとトラフィックの可視化ツール
    • Python ICAP Yara - ICAPサーバーにYARAスキャナーを組み合わせたURLまたはコンテンツ検出ツール
    • Squidmagic - squidmagicは、SquidプロキシサーバーとSpamhausを用いて、Webベースのネットワークトラフィックを分析し、中央コマンド・コントロール（C&C）サーバーおよび悪意のあるサイトを検出するためのツール
    • Tcpdump - ネットワークトラフィックの収集
    • tcpick - ネットワークトラフィックからTCPストリームをトレースし、再構成
    • tcpxtract - ネットワークトラフィックからファイルを抽出
    • Wireshark - ネットワークトラ術分析ツール

    メモリフォレンジック {#memory-forensics}

    メモリ画像や実行中のシステムを解析するためのツール

    • BlackLight - Windows/MacOS向けフォレンジッククライアント（hiberfil、pagefile、rawメモリ分析をサポート）
    • DAMM - メモリ内のマルウェアの差分分析（Volatilityに基づく）
    • evolve - Volatilityメモリフォレインスフレームワーク向けのウェブインターフェース。
    • FindAES - メモリ内のAES暗号鍵を検出
    • inVtero.net - .NETで開発された高速メモリ分析フレームワーク（すべてのWindows x64対応、コードインテグリティおよび書き込みサポートを含む）
    • Muninn - Volatilityを用いて分析の一部を自動化し、 読みやすいレポートを作成するスクリプト。 Orochi - 共同でフォレンジックメモリダンプを分析するための オープンソースフレームワーク。
    • Rekall - メモリ分析フレームワーク（2013年にVolatilityからフォーク）
    • TotalRecall - Volatilityに基づいたスクリプトで、さまざまなマルウェア分析タスクを自動化
    • VolDiff - マルウェア実行前後でVolatilityをメモリイメージに適用し、変更を報告
    • Volatility - 高度なメモリフォレインスフレームワーク。
    • VolUtility - Volatilityメモリ分析フレームワークのウェブインターフェース
    • WDBGARK - WinDBGのアンチ・ルートキット拡張
    • WinDbg - Windowsシステム向けのライブメモリインスペクションとカーネルデバッグ

    Windowsアーティファクト {#windows-artifacts}

    • AChoir - Windowsのアーテファクトを収集するライブインシデントレスポンススクリプト
    • python-evt - WindowsイベントログをパースするPythonライブラリ
    • python-registry - レジストリファイルをパースするPythonライブラリ
    • RegRipper (GitHub) - プラグインベースのレジストリ分析ツール

    保管・ワークフロー {#storage-and-workflow}

    • Aleph - オープンソースのマルウェア分析パイプラインシステム
    • CRITs - 脅威に関する協働研究、マルウェアおよび脅威リポジトリ
    • FAME - カスタムモジュールを追加可能で、モジュールを連鎖させ合い相互に作用して端到端分析を行うマルウェア分析フレームワーク
    • Malwarehouse - マルウェアの保存、タグ付け、検索
    • Polichombr - 分析者が協働してマルウェアを逆アセンブルするためのマルウェア分析プラットフォーム
    • stoQ - 入力から出力まで、広範なプラグインサポートを備えた分散コンテンツ分析フレームワーク
    • Viper - 分析者および研究者向けのバイナリ管理および分析フレームドワーク

    その他 {#miscellaneous}

    • al-khaser - 反マルウェアシステムをストレステストする目的で開発された、良い意図を持つマルウェアのプロトタイプ
    • CryptoKnight - 自動的に暗号アルゴリズムを逆アセンブルし、分類するフレームワーク
    • DC3-MWCP - 防御サイバーカルテルのマルウェア設定パーサーフレームワーク
    • FLARE VM - 完全にカスタマイズ可能な、Windowsベースのセキュリティ配布システム（マルウェア分析用）
    • MalSploitBase - マルウェアが使用するエクスプロイトを格納したデータベース
    • Malware Museum - 1980年代および1990年代に配布されたマルウェアプログラムのコレクション
    • Malware Organiser - 大量の悪意ある・無害なファイルを整理したシンプルなツール
    • Pafish - Paranoid Fish、マルウェアファミリーが使用するようにサンドボックスや分析環境を検出するための複数の技術を用いたデモンストレーションツール
    • REMnux - マルウェア逆エンジニアリングおよび分析用のLinuxディストリビューションとDockerイメージ
    • Tsurugi Linux - DFIR調査、マルウェア分析およびOSINT（オープンソースインテリジェンス）活動をサポートするためのLinuxディストリビューション
    • Santoku Linux - モバイルフォレインス、マルウェア分析、セキュリティ用のLinuxディストリビューション

    リソース {#resources}

    書籍 {#books}

    マルウェア解析に必要な読書資料

    その他 {#other}

    • APT Notes - 高度な持続的脅威に関連する論文およびノートのコレクション
    • Ember - Endgameマルウェアベンチマーク（研究用リポジトリ）：PEファイルの静的分析に基づくスコア予測を行うための機械学習モデルを（再）構築しやすくするリポジトリ
    • File Formats posters - よく使われるファイルフォーマット（PEおよびELFを含む）の視覚的表現
    • Honeynet Project - ハーネイプットツール、論文、その他リソース
    • Kernel Mode - マルウェア分析およびカーネル開発に専念するアクティブなコミュニティ
    • Malicious Software - Lenny Zeltserによるマルウェアブログおよびリソース
    • Malware Analysis Search - Corey Harrellから作成されたカスタムGoogle検索エンジン
    • Malware Analysis Tutorials - フウ博士によるマルウェア解析チュートリアル。実際のマルウェア解析を学ぶための優れたリソース。
    • Malware Analysis, Threat Intelligence and Reverse Engineering - マルウェア解析、脅威インテリジェンス、逆エンジニアリングの概念を紹介するプレゼンテーション。事前経験や知識は不要。説明欄に実験環境のリンクが含まれている。
    • Malware Persistence - マルウェアの持続性に関するさまざまな情報の収集：検出（手法）、対応、誤解のポイントおよびログ収集（ツール）
    • Malware Samples and Traffic - このブログは、マルウェア感染に関連するネットワークトラフィックについて述べている。
    • Malware Search+++ Firefox拡張機能により、最も人気のあるマルウェアデータベースのいくつかを簡単に検索できる。
    • Practical Malware Analysis Starter Kit - このパッケージは、『実践的なマルウェア解析』書籍で参照されているソフトウェアのほとんどを含んでいる。
    • RPISEC Malware Analysis - レンセラーポリテクニックインスティテュートで2015年の秋に開講されたマルウェア解析コースで使用された教材。
    • WindowsIR: Malware - ハーラン・カーヴィーによるマルウェアに関するページ。
    • Windows Registry specification - Windowsレジストリファイル形式仕様。
    • /r/csirt_tools - CSIRTツールとリソースに関する サブレディット。 malware analysisフレア付き。
    • /r/Malware - マルウェアに関するサブレッド。
    • /r/ReverseEngineering - 逆エンジニアリングに関するサブレッド。マルウェアに限らず、幅広いテーマをカバー。

    関連Awesomeリスト {#related-awesome-lists}

    コントリビューション {#contributing}

    提案や意見を含むプルリクエストとイシューは歓迎です！プルリクエストを提出する前に、 CONTRIBUTINGガイドラインを読んでください。

    謝辞 {#thanks}

    このリストは以下のことに感謝しています：

    • Lenny Zeltser and other contributors for developing REMnux, where I found many of the tools in this list;
    • Michail Hale Ligh, Steven Adair, Blake Hartstein, and Mather Richard for writing the Malware Analyst’s Cookbook, which was a big inspiration for creating the list;
    • And everyone else who has sent pull requests or suggested links to add here!

    ありがとう！