FrankenStrings服务

此服务使用模式匹配、简单编码解码器和脚本反混淆器执行文件和IOC提取。

BALBUZARD：BSD 2-Clause许可证，参见balbuzard代码文件顶部

服务详情

1. 字符串提取：

ASCII和unicode字符串IOC检查（参见patterns.py）
Balbuzard的bb*** level 1（深度扫描时为level 2）XOR转换模块。仅匹配特定IOC（参见patterns.py、bb***.py）
Base64字符串提取

2. 文件提取：

Balbuzard的bb*** level 1（深度扫描时为level 2）XOR转换模块（仅搜索PE文件）
针对感兴趣文件类型的Base64模块搜索（参见frankenstrings.py）
嵌入式PE文件提取
Unicode、Hex、Ascii-Hex提取模块（用于可能的shellcode）

当不处于深度扫描模式时，此AL服务将根据提交文件的大小跳过检测模块（以防止服务积压和超时）。默认值故意设置为较小尺寸。可根据AL实例的流量/硬件情况，在服务配置中轻松更改过滤器。

服务配置

max_size：此服务接受的提交文件最大大小
max_length：字符串最大长度。用于基本ASCII和UNICODE模块
st_max_size：字符串列表最大大小。由基本ASCII和UNICODE模块结果生成的列表，将决定patterns.py是否仅评估网络IOC模式
bb_max_size：运行bb***模块的提交文件最大大小

结果输出

1. 静态字符串（ASCII、UNICODE、BASE64）：

标记匹配感兴趣IOC模式的字符串
解码的BASE64。提取超过200字节的内容，否则合并所有解码内容并提取到单个文本文件中

2. 嵌入式PE文件：

提取文件中嵌入的PE文件
提取文件中嵌入的反向PE文件

3. ASCII Hex字符串：

成功解码的ASCII十六进制数据内容提取（超过500字节的任何数据）
为所有成功解码的数据标记IOC模式匹配
自定义暴力XOR模块后标记URI模式匹配（参见bb***.py中的添加模块）

4. BB*** XOR字符串：

标记所有匹配感兴趣IOC模式的字符串
提取解码的XOR加密PE文件

镜像变体和标签

Assemblyline服务基于Assemblyline服务基础镜像构建，该基础镜像基于Debian 11并带有Python 3.11。

Assemblyline服务使用以下标签定义：

标签类型	描述	示例标签
latest	最新构建（可能不稳定）	`latest`
build_type	使用的构建类型。`dev`是最新的不稳定构建，`stable`是最新的稳定构建	`stable` 或 `dev`
series	完整构建详情，包括版本和构建类型：`version.buildType`	`4.5.stable`、`4.5.1.dev3`

运行此服务

这是一个Assemblyline服务，设计用于在Assemblyline框架中运行。

如果要在本地测试此服务，可以直接从shell运行Docker镜像：

bash
docker run \
    --name FrankenStrings \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-frankenstrings

要将此服务添加到Assemblyline部署，请遵循此指南。