Rurik/Noriben

これは何？

主な機能

• 01Sysinternals Procmonを操作して、ファイル、レジストリ、プロセスの動作を記録します。
• 02設定した収集時間の終了後に、シンプルなテキストレポートを作成します。
• 03新たに作成されたファイルを、フォルダー内のYARAルールでスキャンします。
• 04ファイルのハッシュをVirusTotalに送信でき、ホワイトリストに登録されたハッシュを除外できます。
• 05%AppData%などのWindows環境変数を使い、絶対パスを置き換えます。
• 06既存のProcmon CSVファイルやPMLファイルを再解析します。

ユースケース

• 使い捨てのVM上で、不審なWindows実行ファイルの挙動を確認する。
• 手動操作や特定のコマンドライン引数を必要とするサンプルを実行する。
• システム動作を記録しながら、デバッガーでプログラムをステップ実行する。
• 一般的なWindowsソフトウェアの実行時の挙動を監査する。

クイックスタート

1. 1

   Sysinternals Procmon をダウンロードし、procmon.exe または procmon64.exe を Noriben.py と同じディレクトリに配置します

2. 2

   タイムアウトを設定し、解析対象のマルウェアとともに Noriben を実行します

   python.exe Noriben.py -t 60 --cmd "path\exe"

使う前に知っておきたいこと

• !Sysinternals Procmon が必要で、Windows でのみ動作します。
• !マルウェア解析用のツールです。サンプルの実行にはリスクが伴うため、隔離された VM で実行してください。
• !NoribenSandbox の自動化スクリプトは現在 OSX でのみ動作し、完全には移植されていません。

収録されている特集

トピック

よくある質問

Noriben とは？

Sysinternals Procmonを操作してプログラムの実行時の動作を記録・レポートする、マルウェア解析向けのポータブルなPythonスクリプト。 Noribenは、Sysinternals Procmonと連携し、プログラムの実行中にシステムイベントを取得するWindows向けPythonスクリプトです。スクリプトを起動して不審なサンプルを実行し、キーを押すと、ファイル、レジストリ、プロセスの動作をまとめたプレーンテキストのレポートが作成されます。出力を読みやすく保つため、システム由来のノイズを除外するホワイトリストが組み込まれていますが、Procmon側で事前にフィルタリングしておくと、さらに効果的です。

Noriben は無料で使えますか？ライセンスは？

Noriben は Other ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

Noriben は今もメンテナンスされていますか？

活発にメンテナンス中。Noriben の最終コミットは 2026年11月3日 です。

Noriben は何に使えますか？

使い捨てのVM上で、不審なWindows実行ファイルの挙動を確認する。 手動操作や特定のコマンドライン引数を必要とするサンプルを実行する。 システム動作を記録しながら、デバッガーでプログラムをステップ実行する。 一般的なWindowsソフトウェアの実行時の挙動を監査する。

Noriben のインストール方法は？

Sysinternals Procmon をダウンロードし、procmon.exe または procmon64.exe を Noriben.py と同じディレクトリに配置します タイムアウトを設定し、解析対象のマルウェアとともに Noriben を実行します: python.exe Noriben.py -t 60 --cmd "path\exe"

Noriben はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/Rurik/Noriben