Nutzung von mehreren Cloud-Diensten mit Total Commander

Der Dateimanager Total Commander hat ein ausgereiftes Plugin System. Mittlerweile gibt es Plugins für diverse Clouddienste und für WebDAV. Dies ermöglicht es, auf die Cloud zuzugreifen, ohne die Apps der Hersteller zu benutzen. Total Commander Plugins   WebDAV Plugin Download Zugriff auf Webserver (schreibend+lesend) via WebDAV-Protokoll über HTTP und HTTPS, auch bekannt als WebFolder. Der ...

Extrahieren von XOR, ROT und Shift verschleierten Strings aus Binärdateien

Will man aus Malwaredateien Strings extrahieren, so sind diese oft durch XOR o.ä. verschleiert. Mit den Tools xorstrings und xorsearch können Strings extrahiert und gesucht werden. Dabei gehen die Tools per Bruteforce alle Strings durch und wenden die Binären Operationen an. http://blog.didierstevens.com/programs/xorsearch/ Usage: XORSearch [-siuhkpwWLx] [-l length] [-n length] [-f search-file] [-e byte] [-d encodings] ...

Extrahieren von Amnhängen einer EML Datei

Manchmal ist es notwendig, über EML Maildateien über die Kommandozeile zu bearbeiten. Mit MPack können Anhänge extrahiert werden:   [code language=“text“ title=“Installation“]sudo apt-get install mpack [/code]   [code language=“text“ title=“Usage“]munpack ##file.eml##[/code]

Extrahieren von Code aus Office Dokumenten

Hier sind zwei Tools, um Code (Malware) aus Office Dokumenten zu extrahieren:   OfficeMalScanner OLEDump     OLEDump oledump.py ist ein Pythonscript. Als Abhängigkeit muss olefile installiert sein <span style="color: #99ccff;">pip install olefile</span> 1 <span style="color: #99ccff;">pip install olefile</span> Auflisten aller Elemente des Dokumentes <span style="color: #99ccff;">oledump.py &lt;&lt;filename&gt;&gt;</span> 1 <span style="color: #99ccff;">oledump.py &lt;&lt;filename&gt;&gt;</span> Das „M“ ...

Exrahieren und debuggen von VBS oder JScript Malware mit Visual Studio

Exrahieren und debuggen von VBS oder JScript Malware mit Visual Studio
 http://www.welivesecurity.com/2016/02/11/isolate-vbs-jscript-malware-visual-studio/   Blogeintrag als PDF  

Wichtige volatility Funktionen

Profil identifizieren vol.py -f <<DumpDatei>> imageinfo   Profil benutzen vol.py -f <<DumpDatei>> –profile=<<profilname>>   Prozesse vol.py -f <<DumpDatei>> –profile=<<profilname>> pslist vol.py -f <<DumpDatei>> –profile=<<profilname>> pstree vol.py -f <<DumpDatei>> –profile=<<profilname>> procdump –dump-dir <<Verzeichnis>> vol.py -f <<DumpDatei>> –profile=<<profilname>> procexedump -p <<PID>> -D <<Verzeichnis>> vol.py -f <<DumpDatei>> –profile=<<profilname>> memdump -p <<PID>> -D <<Verzeichnis>>   Netzwerkverbindungen (Windows XP) vol.py ...

Extraktion von Script aus PDF Dokumenten

Um Code aus PDF Dateien zu extrahieren, kann das Tool PDF Stream Dumper genutzt werden.     Link http://sandsprite.com/blogs/index.php?uid=7&pid=57

Installation von jsDetox

jsDetox ist ein Tool, mit dem obfuscated Javascript Code deobfuscated werden kann, ohne ihn auszuführen. Es funktioniert nur klassisches Javascript und kein WScript oder ähnliche Javascriptderivate.   Installation unter Ubuntu mittels GIT: [code] sudo apt-get install git ruby ruby-dev bundler build-essential cd #target-dir# git clone https://github.com/svent/jsdetox.git cd jsdetox sudo bundle install ./jsdetox [/code] Gestartet wird ...