Repolode
Enviar
Rurik

Rurik/Noriben

Script portátil em Python que controla o Sysinternals Procmon para registrar e relatar a atividade de programas em execução durante análises de malware.

Ver no GitHub
Estrelas
1,322
Forks
224
Issues abertas
9
Último commit
há 4 dias

O que é?

Noriben é um script em Python para Windows que usa o Sysinternals Procmon para capturar eventos do sistema enquanto um programa é executado. Você inicia o script, executa uma amostra suspeita, pressiona uma tecla e recebe um relatório em texto simples sobre atividades de arquivos, registro e processos. Ele inclui uma lista integrada de ruídos do sistema permitidos para manter a saída legível, embora ainda seja útil pré-filtrar os eventos no Procmon.

Como é possível executar a amostra manualmente, Noriben atende a casos com os quais um sandbox totalmente automatizado pode ter dificuldade, como programas que precisam de opções de linha de comando ou interação do usuário, ou situações em que você percorre o código em um depurador enquanto registra as atividades. Também é possível analisar novamente arquivos CSV ou PML existentes do Procmon, e a ferramenta já foi usada para auditar softwares comuns.

O projeto inclui recursos opcionais, como varredura YARA de arquivos recém-criados, envio de hashes ao VirusTotal, listas de hashes permitidos e generalização de caminhos para variáveis de ambiente do Windows, útil no desenvolvimento de indicadores. Um script complementar, NoribenSandbox.py, automatiza a execução de amostras em uma VM convidada e a coleta dos resultados.

Recursos principais

  • 01Registra atividades de arquivos, registro e processos controlando o Sysinternals Procmon.
  • 02Gera um relatório de texto simples após um período de coleta configurável.
  • 03Verifica arquivos recém-criados usando uma pasta de regras YARA.
  • 04Pode enviar hashes de arquivos ao VirusTotal e ignorar hashes incluídos em uma lista de permissões.
  • 05Substitui caminhos absolutos por variáveis de ambiente do Windows, como %AppData%.
  • 06Analisa novamente arquivos CSV ou PML existentes do Procmon.

Casos de uso

  • Observar o que um executável suspeito do Windows faz em uma VM descartável.
  • Executar uma amostra que exige interação manual ou argumentos específicos de linha de comando.
  • Percorrer um programa em um depurador enquanto registra sua atividade no sistema.
  • Auditar o comportamento em tempo de execução de softwares comuns para Windows.

Início rápido

  1. 1

    Baixe o Sysinternals Procmon e coloque procmon.exe ou procmon64.exe no mesmo diretório que Noriben.py

  2. 2

    Execute o Noriben com um tempo limite e o malware que deseja analisar

    python.exe Noriben.py -t 60 --cmd "path\exe"

Antes de usar

  • Requer o Sysinternals Procmon e funciona apenas no Windows.
  • Foi desenvolvido para análise de malware; portanto, executar amostras oferece riscos e deve ser feito em uma VM isolada.
  • O script de automação NoribenSandbox atualmente funciona apenas no OSX e ainda não foi totalmente portado.

Em coleções

Ferramentas de varredura, auditoria e inteligência de ameaças

Tópicos

#malware-analysis#security#sysinternals#windows#forensics#sandbox#yara#python

Perguntas frequentes

O que é Noriben?
Script portátil em Python que controla o Sysinternals Procmon para registrar e relatar a atividade de programas em execução durante análises de malware. Noriben é um script em Python para Windows que usa o Sysinternals Procmon para capturar eventos do sistema enquanto um programa é executado. Você inicia o script, executa uma amostra suspeita, pressiona uma tecla e recebe um relatório em texto simples sobre atividades de arquivos, registro e processos. Ele inclui uma lista integrada de ruídos do sistema permitidos para manter a saída legível, embora ainda seja útil pré-filtrar os eventos no Procmon.
Noriben é gratuito? Qual é a licença?
Noriben é open source sob a licença Other. Confira os termos da licença antes de usá-lo em produtos comerciais.
Noriben ainda é mantido?
Manutenção ativa. O último commit de Noriben foi em 3 de nov. de 2026.
Para que posso usar Noriben?
Observar o que um executável suspeito do Windows faz em uma VM descartável. Executar uma amostra que exige interação manual ou argumentos específicos de linha de comando. Percorrer um programa em um depurador enquanto registra sua atividade no sistema. Auditar o comportamento em tempo de execução de softwares comuns para Windows.
Como instalar Noriben?
Baixe o Sysinternals Procmon e coloque procmon.exe ou procmon64.exe no mesmo diretório que Noriben.py Execute o Noriben com um tempo limite e o malware que deseja analisar: python.exe Noriben.py -t 60 --cmd "path\exe"
Onde consigo Noriben?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/Rurik/Noriben

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados