any.run

Среда для выполнения и анализа всяких зловредов с возможностью записи сессии.

Некоторые фичи:
- Очень милый и приятный интерфейс, комфортное взаимодействие с анализируемой системой.
- Возможность выгрузки перехваченных пакетов в pcap
- Наглядное построение графа процессов

Почитать:
--> https://any.run/ <--

Примеры:
--> https://app.any.run/tasks/266ab3c4-c346-4f5b-813b-d5e82ea67aed <--
--> https://app.any.run/tasks/32186bb2-60c2-4980-8bf8-4b2742697df4 <--

Зарегиться:
--> app.any.run/#register <--

-----
EnJoy!

| Сообщение посчитали полезным: plutos, mak

А есь такие фриланс индивидуумы шо б платили 100 баксов в месяц за такую виртуалку?
qemu process маячит

| Сообщение посчитали полезным:

hash87szf пишет:
фриланс
Community version for FREE, написано вроде довольно большими буквами на главной странице, да и в разделе --> Plans <--.

По моим ощущениям, бесплатная версия скорее для того, чтобы по-быстрому что-то потестить (при этом публично).

Если с деньгами туго, то собственная виртуалка/отдельная машина спасают ))

-----
EnJoy!

| Сообщение посчитали полезным:

Это делается что бы брать наработки на сигнатурный и прочий анализ. Обычные ав сканеры видимо уже не покрывают их задачи. А через такие инструменты очень легко следить за разработкой малвари. Туда есчо онлайн компилеры прикрутить, получится что авер есчо и сурки докучи заимеет :D

> А есь такие фриланс индивидуумы шо б платили 100 баксов в месяц за такую виртуалку?

Как и ав сканеры, типо виртотал, это оплачивает авер. За это ему автоматика шлёт семплы.

-----
vx

| Сообщение посчитали полезным: BlackCode, morgot

Слишком хакерский интерфес.

-----
xchg dword [eax], eax

| Сообщение посчитали полезным:

any.run
любопытное наблюдение: сам сервис зарегистрирован в RU-зоне (Moscow).

| Сообщение посчитали полезным:

Jupiter пишет:
Community version for FREE, написано вроде довольно большими буквами на главной странице, да и в разделе --> Plans <--.
Мине йенто известно. Я ж на ваш фри сервис и зарегиля и сэмпл закачал.
Вопрос был риторический. У аверов свои сандбоксы. А кто ещё 89 баксов/м башлять буде за ВМ недопилиную?
Каков ваш бизнесплан?
ГРУ, элитным фирмам накручивать? Вон Joe Sandbox 6000 франков за 250 анализов/м берёт...

| Сообщение посчитали полезным:

Был удобный онлайн инструмент - анубис. Это виртуальная машина с монитором, довольно мощный инструмент. Реализовано это было каким то сша универом. Проект закрыли.

Главное что Анубис пользовался некоторым доверием. Аналогичный проект в ру зоне поднять невозможно, это будет ловушка. Не без участия касперского и прочей политики. За использование таких тулз можно легко присесть, если там не хеловорды тестить.

-----
vx

| Сообщение посчитали полезным:

hash87szf пишет:
Я ж на ваш фри сервис
hash87szf пишет:
Каков ваш бизнесплан?

Поскольку до этого ты меня процитировал в своём ответе, то когда ты говоришь "ваш сервис" и "ваш бизнес-план", то у меня возникает ощущение, что ты имеешь в виду, будто бы я имею какое-то отношение к авторам сервиса any.run. Не имею.
По всем вопросам коммерциализации сервиса обращайся, собственно, к владельцам сервиса.


difexacaw пишет:
Реализовано это было каким то сша универом
Если я тебя правильно понял, то говоришь про продукт ANUBIS, который крутился на anubis.iseclab.org
Создатель ANUBIS - Ульрих Байер, на тот момент студент Венского Технологического Университета.
В проекте поучаствовала масса университетского народу. Так что на счёт универа ты отчасти прав )
Работало всё, кстати, на Windows XP ))
Но на тот момент анубис генерил обычный отчёт, который можно было прочитать, но нельзя было воспроизвести, как в случае с any.run

-----
EnJoy!

| Сообщение посчитали полезным:

Jupiter

> ANUBIS, который крутился на anubis.iseclab.org

Всё верно. Отличный был тулз.

> отчёт, который можно было прочитать, но нельзя было воспроизвести, как в случае с any.run

В смысле нельзя было воспроизвести в отличие от сабжа ?

Но тот проект был доверенный, а этот нет. Он же русский. Туда зальёш и в косяк попадёшь. Кто его знает, но я например такое не юзаю, нет доверия.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет:
В смысле нельзя было воспроизвести в отличие от сабжа?
Там был просто текстовый документ с результатами.
Если ты видел какой-то иной выхлоп, расскажи, я не в курсе.


difexacaw пишет:
Но тот проект был доверенный, а этот нет. Он же русский.
Ты же проектам не доверяешь не по национальному признаку, я надеюсь? ))
Фюрер тоже был из Австрии, как и Ульрих


difexacaw пишет:
Кто его знает, но я например такое не юзаю, нет доверия
Может я ошибаюсь, конечно, но ты у меня ассоциируешься с параноиком, и для меня даже удивительно, что ты доверял анубису.

-----
EnJoy!

| Сообщение посчитали полезным:

Jupiter

У них статей таких нет как в ру, а есчо это университетский проект и я не знаю что бы там кого то спалили.

> Если ты видел какой-то иной выхлоп, расскажи, я не в курсе.

Там малварь тестилась, лог был достаточным.

Впрочем какая разница, если его нет больше. Один из не многих инструментов был, которым я часто пользовался и он мне нравился.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет:
Там малварь тестилась, лог был достаточным

Ну то есть ты тоже видел результат только в виде текстового отчёта.


difexacaw пишет:
Один из не многих инструментов был, которым я часто пользовался и он мне нравился

А FLARE VM не пользовался?

https://github.com/fireeye/flare-vm
https://www.fireeye.com/blog/threat-research/2017/07/flare-vm-the-windows-malware.html
https://www.fireeye.com/blog/threat-research/2018/11/flare-vm-update.html

-----
EnJoy!

| Сообщение посчитали полезным:

Jupiter

> Ну то есть ты тоже видел результат только в виде текстового отчёта.

Формат там разный был, но никаких скрытых фич не видел. Если даже они и были по вашему, то это нужен какой то спец вызов

> А FLARE VM не пользовался?

Нет. Очень много лет всё крутилось вокруг ав-сканеров. Фактически остальное довольно редко использовалось.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет:
Формат там разный был
хз, я запомнил только текстовый отчёт в html/pdf.

А с помощью any.run можно повторно "проследить" поведение малвари в условно интерактивном режиме.


difexacaw пишет:
Нет

Это просто ВМ с набором инструментов.

-----
EnJoy!

| Сообщение посчитали полезным:

difexacaw
Твой анубис маинтайнили чуваки из Икарус. Сливая что-то туда ты автоматом сливал это аверам. Единственственная разница между ВТ была в том что там это не было автоматизировано.

| Сообщение посчитали полезным:

создавать отдельную тему ради одного вопроса как-то неэтично, поэтому спрошу здесь, поскольку эта тема где-то близка к вопросу. Есть ресурс, кто-нибудь использовал его? Какие впечатления?

free malware --> analysis service (reverse.it)<--for the community that detects and analyzes unknown threats using a unique Hybrid Analysis technology.

-----
Give me a HANDLE and I will move the Earth.

| Сообщение посчитали полезным:

Это все одно и тоже с разными настройками, скриптами и внешним видом. База одна и та же и это сандобокс от кроудстрайк.

Вот еще https://www.intezer.com/

| Сообщение посчитали полезным: plutos