Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Scopri LOKI: l’arma per il rilevamento di minacce informatiche

Andrea Cavallini : 29 Aprile 2024 15:27

Oggi è sempre più importante e significativo essere efficienti nel controllo delle proprie infrastrutture; le azioni da mettere in atto per questo processo di verifica richiedono un doppio approccio, uno proattivo e l’altro post-azione: quest’ultimo aspetto è fondamentale quando un attacco o, in generale, qualsiasi tentativo di comportamento dannoso viene condotto su un sistema oggetto e dobbiamo, in quanto amministratori, sapere tutto di questa azione, dal suo inizio alla sua parte finale.

Il paradigma “è successo e devo saperne tutto” può essere verificato in modo ottimale da Loki. 

Loki è uno strumento open source, sviluppato in Python da Florian Roth (aka Neo23x0) ed è una suite di strumenti molto semplice, utilizzabile per il rilevamento IOC (Indicatore di compromissione) nei nostri sistemi.


Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:
  • L'acquisto del fumetto sul Cybersecurity Awareness
  • Ascoltando i nostri Podcast
  • Seguendo RHC su WhatsApp
  • Seguendo RHC su Telegram
  • Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


  • Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


    Il punto di forza di Loki è l’interazione con un insieme dinamico di regole, liberamente aggiornabile, che sono applicate agli elementi del filesystem e non solo (ad esempio lato Windows ispeziona anche la memoria condivisa ad esempio); gli utenti possono personalizzare le regole o scriverne di nuove per essere costantemente aggiornati con gli ultimi modelli IOC.

    Come menzionato nel repository ufficiale dello sviluppatore il rilevamento si basa su quattro metodi di ricerca:

    • Nome file, utilizzando la corrispondenza tramite espressione regolare sul percorso/nome completo del file per cercare un nome file specifico
    • Yara rule checksum, utilizzando la corrispondenza della firme Yara rilasciate verificando files e memoria dei processi
    • Hash check, confrontando gli hash dannosi noti (MD5, SHA1, SHA256) con i file scansionati
    • C2 back connect check, confrontando gli endpoint di connessione del processo con gli IOC di Command and Control

    Loki può essere eseguito su sistemi operativi Linux, Mac e Windows, ma solo localmente. Partendo da un fork del prodotto sul mio repository GitHub è possibile l’esecuzione centralizzata mediante l’opzione –ip: Loki mapperà il filesystem remoto dell’host specificato tramite indirizzo IP mediante connessione SSH (è richiesto il pacchetto SSHFS localmente e che sul server remoto il demone SSH sia in esecuzione).

    Questo è molto utile per le infrastrutture centralizzate per raccogliere in un unico punto i risultati di ogni scansione e, aggiungendo un’altra opzione che ho implementato (–locallogging), è anche possibile reindirizzare il log di Loki come output nel Syslog/Event Viewer per raccogliere i dati nei registri gestiti nativamente dal sistema operativo.

    Andrea Cavallini
    Da sempre appassionato di Cybersecurity e di hacking in generale, ha iniziato il proprio percorso nell'IT per poi approdare alla parte di sviluppo applicativo e di sistemi di controllo; si occupa principalmente di fornire soluzioni per infrastrutture critiche, è autore di articoli digitali in chiave Red Team e Blue Team e sviluppa soluzioni open source legate al mondo della sicurezza informatica.

    Lista degli articoli

    Articoli in evidenza

    Arriva NotDoor : La Backdoor per Microsoft Outlook di APT28
    Di Redazione RHC - 04/09/2025

    Un avanzato sistema di backdoor associato al noto gruppo di cyber spionaggio russo APT28 permette ai malintenzionati di scaricare dati, caricare file e impartire comandi su pc infettati. Questo sistem...

    Red Hot Cyber Conference 2026: Aperte le Sponsorizzazioni per la Quinta Edizione a Roma
    Di Redazione RHC - 04/09/2025

    La Red Hot Cyber Conference è ormai un appuntamento fisso per la community di Red Hot Cyber e per tutti coloro che operano o nutrono interesse verso il mondo delle tecnologie digitali e della sicurez...

    Hexstrike-AI scatena il caos! Zero-day sfruttati in tempo record
    Di Redazione RHC - 04/09/2025

    Il rilascio di Hexstrike-AI segna un punto di svolta nel panorama della sicurezza informatica. Il framework, presentato come uno strumento di nuova generazione per red team e ricercatori, è in grado ...

    Nuovi ricatti: se non paghi, daremo tutti i tuoi dati in pasto alle intelligenze artificiali!
    Di Redazione RHC - 03/09/2025

    Il gruppo di hacker LunaLock ha aggiunto un nuovo elemento al classico schema di estorsione, facendo leva sui timori di artisti e clienti. Il 30 agosto, sul sito web Artists&Clients, che mette in ...

    LockBit 5.0 : segnali di una nuova e possibile “Rinascita”?
    Di Pietro Melillo - 03/09/2025

    LockBit rappresenta una delle più longeve e strutturate ransomware gang degli ultimi anni, con un modello Ransomware-as-a-Service (RaaS)che ha segnato in maniera profonda l’ecosistema criminale. A ...