Hook Analyser es una aplicación freeware que permite a un investigador / analista realizar un análisis estático y dinámico, (en tiempo de ejecución), de aplicaciones sospechosas (posible malware), y también recopila datos relacionados con información de amenazas (o datos) de varias fuentes abiertas en Internet. En esencia se trata de una herramienta de análisis de malware que se ha desarrollado para agregar algunas características y mapeo de inteligencia de amenazas cibernéticas.






Descripción: Hook Analyser es un proyecto de software gratuito, iniciado en 2011, para analizar una aplicación durante su tiempo de ejecución. El proyecto puede ser potencialmente útil en el análisis de malware (en tiempo estático y de ejecución), y para la realización de un análisis de crash de la aplicación.

Las siguientes secciones analizan las características (y funcionalidad) del  Hook Analyser, y los intentos de responder a  las consultas "¿Cómo lo hago"

IU Aplicación - actualizaciones importantes se han realizado en la última versión (v 2.2) para que sea más detallado.

Hook Analyser  es quizás de los únicos software "libre" en el mercado que combina análisis de análisis de malware y las capacidades de inteligencia de amenazas cibernéticas. El software ha sido utilizado por las principales organizaciones de Fortune 500.

Características de Hook Analyser 

• Spawn and Hook de una Apliación – Habilita spawn de un aplicación y hookearla
• Enganchar a un proceso en ejecución específico - Le permite conectar a un proceso en ejecución (activo)
• Análisis de malware estático - ejecutables Escanea PE / Windows para identificar los posibles rastros de malware
• Análisis de crash de la aplicación - Le permite analizar el contenido de la memoria cuando una aplicación se bloquea
• Extractor de Exes - Este módulo extrae esencialmente ejecutables se ejecuten proceso / s

Spawn y Hook

a. PE validation
b. Quick static malware analysis.
c. Other options (such as pattern search or dump all)
d. Type of hooking (Automatic, Smart or manual)
e. Spawn and hook

Tres modos de hooking:

• Automatico – The tool will parse the application import tables, and based upon that will hook into specified APIs.
• Manual – On this, the tool will ask end-user for each API, if it needs to be hooked.
• Inteligente – This is essentially a subset of automatic hooking however, excludes uninteresting APIs.

Análisis estático

•  Listado de APIs – The option is used to list API calls only, and this doesn’t display buffer data (on stack or heap).
• Búsqueda por patrón – The option allow searching for patterns or ‘strings’ in memory after application is spawned and hooked.
• Dumpear todo – The option will list API calls and output data from respective buffer (stack or heap). 

Enganchar (Hook) a un proceso en ejecución específico

a. List all running process
b. Identify the running process executable path.
c. Perform quick static malware analysis on executable (fetched from process executable path)
d. Other options (such as pattern search or dump all)
e. Type of hooking (Automatic, Smart or manual)
f. Hook and continue the process

Análisis  rápido de malware estático

Este módulo es uno de los módulos más interesante y útiles de Analyser Hook, que realiza el escaneado en PE o ejecutables de Windows para identificar posibles rastros de malware.

Este módulo ha heredado muchas características del proyecto analizador de malware (www.malwareanalyser.com).

a. PE file validation
b. CRC and timestamps validation
c. PE properties such as Image Base, Entry point, sections, subsystem
d. TLS entry detection.
e. Entry point verification (if falls in suspicious section)
f. Suspicious entry point detection
g. Signature trace (extended from malware analyser project), such as Anti VM aware, debug aware, keyboard hook aware etc. This particular function searches for more than 20 unique malware behaviours (using 100’s of signature).
h. Online search of MD5 (of executable) on Threat Expert.
i. String dump (ASCII)
j. Executable file information
k. ...and more.

Novedades de la versión

Las siguientes son las principales mejoras y características mejoradas -

El módulo de análisis de malware ha sido mejorada - y se han añadido nuevas firmas

Módulo de Inteligencia de amenaza cibernética -

• Módulo de Inteligencia IP (Analizar varias direcciones IP en lugar de sólo 1!). Ejemplo de salida -

• Módulo de Inteligencia de palabras clave (palabras clave Analizar ejemplo, Internet Explorer 11, la dirección IP, Hash etc). Ejemplo de salida -

• Archivo de análisis (PCAP) Red - Analizar archivo .PCAP proporcionado por el usuario y realiza análisis sobre direcciones IP externas

• Inteligencia Social (extrae datos de Twitter- por palabras clave definidas por el usuario y realiza análisis de redes).  

Echemos un vistazo a "HOW-TO-USE" de estas versiones (Threat Intelligence Ciber) -

La herramienta se puede realizar el análisis a través de 2 métodos

•  modo automático y modo manual.

En el modo automático, la herramienta utilizará los siguientes archivos para el análisis -

• Channels.txt (Path: feeds-> channels.txt): Especifique la lista de los canales o palabras clave relacionadas con Twitter para el monitoreo. En el modo automático, el control se realiza por solo 2 minutos, sin embargo, si desea controlar de forma indefinida, por favor seleccionar el modo manual.
• inteligencia ipdb.txt (Path: feeds-> inteligencia ipdb.txt): Especifique la lista de direcciones IP que desea analizar. Sí, usted puede proporcionar la mayor cantidad de direcciones IP que le gustaría.
• Keywords.txt (Path: feeds-> keywords.txt): Especifique la lista de palabras clave que desea analizar. Sí, usted puede proporcionar la mayor cantidad de palabras clave que le gustaría.
• rssurl.txt (Path: feeds-> rssurl.txt): Especificar las fuentes RSS en busca de información sobre la vulnerabilidad relacionada.
• url.txt (Path: feeds-> url.txt): Especifique la lista de las direcciones URL desde donde herramienta tirará IP maliciosa aborda información.

Amenaza módulo de Intel se puede ejecutar desde HookAnalyser3.2.exe (6 opción #) de archivo o se puede ejecutar directamente a través ThreatIntel.exe archivo. Consulte las siguientes capturas de pantalla -



En el modo manual, hay que proporcionar el nombre de archivo como argumento. Ejemplo a continuación -




Fuente:
http://www.hookanalyser.com/2015/07/hook-analyser-32-major-release.html