Rurik/Noriben

어떤 프로젝트인가요?

핵심 기능

• 01Sysinternals Procmon을 구동해 파일, 레지스트리, 프로세스 활동을 기록합니다.
• 02설정한 수집 시간이 지난 뒤 간단한 텍스트 보고서를 생성합니다.
• 03새로 생성된 파일을 YARA 규칙 폴더의 규칙과 대조해 검사합니다.
• 04파일 해시를 VirusTotal에 제출하고 허용 목록의 해시는 무시할 수 있습니다.
• 05%AppData%와 같은 Windows 환경 변수를 사용해 절대 경로를 대체합니다.
• 06기존 Procmon CSV 또는 PML 파일을 다시 분석합니다.

활용 사례

• 폐기 가능한 VM에서 의심스러운 Windows 실행 파일의 동작을 관찰합니다.
• 사용자 입력이나 특정 명령줄 인수가 필요한 샘플을 실행합니다.
• 시스템 활동을 기록하면서 디버거로 프로그램을 단계별 실행합니다.
• 일반적인 Windows 소프트웨어의 실행 중 동작을 점검합니다.

빠른 시작

1. 1

   Sysinternals Procmon을 다운로드하고 procmon.exe 또는 procmon64.exe를 Noriben.py와 같은 디렉터리에 둡니다

2. 2

   타임아웃을 설정하고 분석할 멀웨어와 함께 Noriben을 실행합니다

   python.exe Noriben.py -t 60 --cmd "path\exe"

사용 전 알아둘 점

• !Sysinternals Procmon이 필요하며 Windows에서만 실행됩니다.
• !멀웨어 분석용으로 설계되었으므로 샘플 실행에는 위험이 따릅니다. 격리된 VM에서 실행해야 합니다.
• !NoribenSandbox 자동화 스크립트는 현재 OSX에서만 실행되며 완전히 포팅되지 않았습니다.

포함된 컬렉션

토픽

자주 묻는 질문

Noriben은(는) 무엇인가요?

악성코드 분석을 위해 Sysinternals Procmon으로 프로그램의 실행 중 활동을 기록하고 보고하는 이식성 높은 Python 스크립트입니다. Noriben은 Sysinternals Procmon과 연동해 프로그램 실행 중 시스템 이벤트를 수집하는 Windows용 Python 스크립트입니다. 스크립트를 시작하고 의심스러운 샘플을 실행한 다음 키를 누르면 파일, 레지스트리, 프로세스 활동을 담은 일반 텍스트 보고서를 받을 수 있습니다. 출력 내용을 읽기 쉽게 정리하도록 시스템에서 발생하는 불필요한 이벤트의 기본 허용 목록을 제공하지만, Procmon에서 미리 필터링하면 더 효과적입니다.

Noriben은(는) 무료로 사용할 수 있나요? 라이선스는 무엇인가요?

Noriben은(는) Other 라이선스의 오픈소스입니다. 상업용 제품에 사용하기 전에 라이선스 조건을 확인하세요.

Noriben은(는) 아직 유지보수되고 있나요?

활발히 유지보수 중. Noriben의 마지막 커밋은 2026년 11월 3일입니다.

Noriben은(는) 어디에 사용할 수 있나요?

폐기 가능한 VM에서 의심스러운 Windows 실행 파일의 동작을 관찰합니다. 사용자 입력이나 특정 명령줄 인수가 필요한 샘플을 실행합니다. 시스템 활동을 기록하면서 디버거로 프로그램을 단계별 실행합니다. 일반적인 Windows 소프트웨어의 실행 중 동작을 점검합니다.

Noriben는 어떻게 설치하나요?

Sysinternals Procmon을 다운로드하고 procmon.exe 또는 procmon64.exe를 Noriben.py와 같은 디렉터리에 둡니다 타임아웃을 설정하고 분석할 멀웨어와 함께 Noriben을 실행합니다: python.exe Noriben.py -t 60 --cmd "path\exe"

Noriben은(는) 어디서 받을 수 있나요?

소스 코드와 설치 방법은 GitHub에 있습니다: https://github.com/Rurik/Noriben