Rurik/Noriben

Что это?

Ключевые возможности

• 01Записывает активность с файлами, реестром и процессами, управляя Sysinternals Procmon.
• 02Формирует простой текстовый отчёт по истечении заданного времени сбора данных.
• 03Проверяет недавно созданные файлы по папке с правилами YARA.
• 04Может отправлять хеши файлов в VirusTotal и игнорировать хеши из белого списка.
• 05Заменяет абсолютные пути переменными среды Windows, например %AppData%.
• 06Повторно анализирует существующие файлы Procmon в форматах CSV и PML.

Сценарии использования

• Наблюдение за действиями подозрительного исполняемого файла Windows в одноразовой виртуальной машине.
• Запуск образца, которому нужны действия пользователя или определённые аргументы командной строки.
• Пошаговое выполнение программы в отладчике с одновременной записью её системной активности.
• Аудит поведения обычного ПО Windows во время выполнения.

Быстрый старт

1. 1

   Скачайте Sysinternals Procmon и поместите procmon.exe или procmon64.exe в тот же каталог, что и Noriben.py

2. 2

   Запустите Noriben, указав тайм-аут и вредоносную программу для анализа

   python.exe Noriben.py -t 60 --cmd "path\exe"

Что важно знать

• !Требуется Sysinternals Procmon; работает только в Windows.
• !Инструмент предназначен для анализа вредоносного ПО, поэтому запуск образцов сопряжён с риском и должен выполняться в изолированной виртуальной машине.
• !Скрипт автоматизации NoribenSandbox в настоящее время работает только в OSX и перенесён не полностью.

В подборках

Темы

Частые вопросы

Что такое Noriben?

Портативный Python-скрипт для управления Sysinternals Procmon, записи активности программ во время выполнения и подготовки отчётов для анализа вредоносного ПО. Noriben — это Python-скрипт для Windows, который использует Sysinternals Procmon для записи системных событий во время работы программы. Запустите скрипт, выполните подозрительный образец, нажмите клавишу — и получите текстовый отчёт об активности с файлами, реестром и процессами. В скрипт встроен список типичных системных событий, которые можно исключить, чтобы отчёт оставался читаемым, хотя предварительная фильтрация в Procmon тоже полезна.

Noriben можно использовать бесплатно? Какая у него лицензия?

Noriben распространяется с открытым исходным кодом под лицензией Other. Перед использованием в коммерческих продуктах проверьте условия лицензии.

Noriben всё ещё поддерживается?

Активно поддерживается. Последний коммит в Noriben — 3 нояб. 2026 г..

Для чего можно использовать Noriben?

Наблюдение за действиями подозрительного исполняемого файла Windows в одноразовой виртуальной машине. Запуск образца, которому нужны действия пользователя или определённые аргументы командной строки. Пошаговое выполнение программы в отладчике с одновременной записью её системной активности. Аудит поведения обычного ПО Windows во время выполнения.

Как установить Noriben?

Скачайте Sysinternals Procmon и поместите procmon.exe или procmon64.exe в тот же каталог, что и Noriben.py Запустите Noriben, указав тайм-аут и вредоносную программу для анализа: python.exe Noriben.py -t 60 --cmd "path\exe"

Где скачать Noriben?

Исходный код и инструкции по установке — на GitHub: https://github.com/Rurik/Noriben