ウイルス検知プログラミング

1. 実践ウイルス検知
プログラミング
黒林檎

2. はじめに
A『ライブラリ使えば簡単に出来ちゃう!』
Q『初心者でも検知プログラミング出来るん?』
@怖い人たちへ
タイトルでマルウェアという表記を使って無いのはあえてです。

3. ClamAVを使おう
Clam AntiVirus （クラム・アンチウイルス。略称)
Clam AVClam AntivirusはTomasz Kojm等によって
開発・メンテナンスされているLinuxやBSD、Mac OS Xな
ど各種UNIX系のシステムで動作するアンチウイルスソフト
です。シグネチャによるパターンマッチング方式を採用して
いて、2004年5月27日の時点で約21,694種類のウイルス
に対応しています。GPLライセンスに従って利用すること
ができるオープンソースのソフトウェアです。
http://ja.wikipedia.org/wiki/Clam_AntiVirus

4. Clamav機能
コマンドライン版スキャンツール
clamscan
データベース アップデートツール
freshclam
マルチスレッドで実行可能なデーモン
clamd

5. pyclamavを使おう
#pyclamavとは?
pyClamAVはCで書かれたlibclamavへの結
合する事が出来るライブラリ。
効率的かつ簡単な方法でpythonソフトウェア
にウイルス検出機能を追加することができます。
http://packages.ubuntu.com/ja/precise/python-pyclamav

6. first
sudo apt-get install python-clamav
freshclam
https://pypi.python.org/pypi/pyclamav
http://xael.org/norman/python/pyclamav/

7. How to..
sudo apt-get install python-clamav
freshclam
python
import pyclamav
pyclamav.scanfile(“malware")
[*]正常動作すれば
malware -> (1, 'Win.Trojan.Agent-66532')
No malware -> (0,’ ’)
＼_(・ω・`)ココ重要！

8. はじめての検知
バックドアマルウェア
(添付:09)
http://totalhash.com/search/

9. PYCLAMAVの流れ
[1]import pyclamav
[3]pyclamav.scanfile(“ファイル”)
[2]シグネチャを読み込む
作成したファイルの削除と結果の表示

10. pyclamav.scanfile()
ディレクトリ指定でスキャン出来ない
そこでdirchaheを使用してディレクトリ内のファイル名を取得
scan(file

11. デフォルト実装
コマンドライン
引数など確認
スキャン関数

12. [0]拡張
try:
ret = pyclamav.scanfile(file)
!
else:
if ret[0]==0:
処理
if ret[0]==1:
処理
(1, 'Worm.Sober.G')
integerが
0か1か判断
this is integer !!
ret[0]が1の場合はマルウェアと考え処理する
string

13. [1]拡張
HTML Parser
(1,ここの値)を検索

14. [1]拡張実行

15. demo

16. シグネチャ追加

17. Let’s Try !!

18. 気になった人は以下検索
clamd
virustotal API
今回はPythonを使用しましたが、自分の好き
な言語で好きなライブラリを探してみるのも良
いと思います。