Overpower服务

对PowerShell文件进行反混淆、特征分析和运行处理。

服务详情

使用经过修改的开源工具对PowerShell文件进行反混淆和评分，例如：

• PSDecode：用于反混淆编码PowerShell脚本的PowerShell脚本
• PowerShellProfiler：Palo Alto Networks Unit42的工具，通过反混淆和规范化内容对PowerShell脚本进行静态分析，然后针对行为指标进行特征分析。

提交参数

• tool_timeout：允许工具单独运行的时间长度。
• add_supplementary：如果希望将补充文件添加到结果中，请选择此参数。
  PSDecode参数：
• fake_web_download：用于指示是否应模拟下载文件到磁盘的Web请求的标志。

镜像变体和标签

Assemblyline服务基于Assemblyline服务基础镜像构建，该基础镜像基于Debian 11，包含Python 3.11。

Assemblyline服务使用以下标签定义：

运行此服务

这是一个Assemblyline服务，设计用于在Assemblyline框架中运行。

如果要在本地测试此服务，可以直接从shell运行Docker镜像：

bash
docker run \
    --name Overpower \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-overpower

要将此服务添加到您的Assemblyline部署中，请遵循指南。

文档

Assemblyline通用文档可在以下地址获取：[***]