ViperMonkey Service

镜像概述和主要用途

ViperMonkey Service是Assemblyline框架下的服务，用于分析和模拟Microsoft Office文件中包含的VBA宏。该服务基于Decalage的ViperMonkey工具，能够提取宏中的关键操作、函数调用、网络指标等信息，支持***代码分析场景。

核心功能和特性

服务详情

本服务使用Decalage的ViperMonkey（[***]

1. 操作与入口点：发现所有操作（包括入口点），支持解码base64编码命令。
2. VBA内置函数：识别宏中使用的VBA内置函数。
3. 网络指标检测：提取检测到的URL、URI和IP地址。
4. 标签输出：生成以下标签：
   • network.static.domain
   • network.static.ip
   • network.static.uri
   • network.port
   • technique.macro

安全特性

ViperMonkey可能通过eval()加速模拟过程，因此该服务需在沙箱环境中运行。Assemblyline默认对非特权服务提供沙箱环境，禁止以特权模式运行此服务。

镜像变体和标签

该服务基于Assemblyline服务基础镜像构建，底层为Debian 11系统，内置Python 3.11。支持以下标签类型：

使用方法和配置说明

运行环境

此服务为Assemblyline框架专用组件，需作为框架一部分运行。

本地测试

如需本地测试，可直接运行Docker镜像：

bash
docker run \
    --name ViperMonkey \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-vipermonkey

集成到Assemblyline部署

添加此服务到Assemblyline部署，请参考***指南。

文档参考

Assemblyline通用文档：[***]