analyzing-malware-family-relationships-with-malpedia

使用 Malpedia 分析恶意软件家族关系

概述

Malpedia 是由弗劳恩霍夫 FKIE 维护的协作平台，收录了恶意软件家族的别名、YARA 规则、威胁行为者关联和参考报告。收录超过 2,600 个恶意软件家族，是了解恶意软件谱系、追踪变体演化以及将恶意软件关联到特定威胁组织的权威资源。本技能涵盖查询 Malpedia API、映射恶意软件家族关系、提取 YARA 规则用于检测，以及构建对手所用恶意软件生态系统的情报。

前置条件

• Python 3.9+，安装 requests、yara-python、stix2 库
• Malpedia API 密钥（在 https://malpedia.caad.fkie.fraunhofer.de/ 注册）
• 了解恶意软件分类和命名规范
• 熟悉用于检测的 YARA 规则语法
• 访问恶意软件样本进行验证（可选）

核心概念

Malpedia 数据模型

Malpedia 将恶意软件组织为家族（如"win.cobalt_strike"），每个家族包含：别名（厂商特定名称，如"Beacon"、"CobaltStrike"）、YARA 规则（社区和厂商贡献）、行为者关联（使用该家族的威胁组织）、参考报告（记录该家族的 CTI 报告）和样本哈希（每个变体的代表性样本）。

恶意软件家族命名

Malpedia 使用 平台.家族名称 格式（如 win.emotet、elf.mirai、apk.flubot）。平台包括 win（Windows）、elf（Linux）、apk（Android）、osx（macOS）和 py（Python）。这种标准化命名解决了不同厂商对同一恶意软件使用不同名称的"多名问题"。

家族关系

恶意软件家族之间存在以下关系：父子关系（代码复用、分叉）、加载器-载荷关系（Emotet 加载 TrickBot 加载 Ryuk）、共同作者关系（同一威胁行为者开发多种工具）以及基础设施共享（共同 C2 框架）。

实践步骤

步骤 1：查询 Malpedia API 获取恶意软件家族

import requests
import json
from collections import defaultdict

class MalpediaClient:
    BASE_URL = "https://malpedia.caad.fkie.fraunhofer.de/api"

    def __init__(self, api_key):
        self.headers = {"Authorization": f"apitoken {api_key}"}

    def get_family_list(self):
        """获取所有恶意软件家族列表。"""
        resp = requests.get(f"{self.BASE_URL}/list/families",
                           headers=self.headers, timeout=30)
        if resp.status_code == 200:
            families = resp.json()
            print(f"[+] Malpedia: {len(families)} malware families")
            return families
        return {}

    def get_family_info(self, family_name):
        """获取恶意软件家族的详细信息。"""
        resp = requests.get(f"{self.BASE_URL}/get/family/{family_name}",
                           headers=self.headers, timeout=30)
        if resp.status_code == 200:
            info = resp.json()
            print(f"[+] Family: {family_name}")
            print(f"    Aliases: {info.get('alt_names', [])}")
            print(f"    Actors: {[a.get('value', '') for a in info.get('attribution', [])]}")
            print(f"    URLs: {len(info.get('urls', []))} references")
            return info
        print(f"[-] Family not found: {family_name}")
        return None

    def get_family_yara(self, family_name):
        """获取恶意软件家族的 YARA 规则。"""
        resp = requests.get(f"{self.BASE_URL}/get/yara/{family_name}",
                           headers=self.headers, timeout=30)
        if resp.status_code == 200:
            rules = resp.json()
            rule_count = sum(len(v) for v in rules.values()) if isinstance(rules, dict) else 0
            print(f"[+] YARA rules for {family_name}: {rule_count} rules")
            return rules
        return {}

    def get_actor_families(self, actor_name):
        """获取与威胁行为者关联的恶意软件家族。"""
        resp = requests.get(f"{self.BASE_URL}/get/actor/{actor_name}",
                           headers=self.headers, timeout=30)
        if resp.status_code == 200:
            data = resp.json()
            families = data.get("families", {})
            print(f"[+] {actor_name}: {len(families)} malware families")
            return data
        return {}

    def search_families(self, keyword):
        """按关键词搜索家族。"""
        all_families = self.get_family_list()
        matches = {
            name: info for name, info in all_families.items()
            if keyword.lower() in name.lower()
            or keyword.lower() in str(info.get("alt_names", [])).lower()
        }
        print(f"[+] Search '{keyword}': {len(matches)} matches")
        return matches

client = MalpediaClient("YOUR_MALPEDIA_API_KEY")
families = client.get_family_list()
emotet_info = client.get_family_info("win.emotet")