QuickSand - делаем анализ подозрительных вредоносных документов

Делаем анализ подозрительных вредоносных документов с QuickSand

QuickSand является компактным фреймворком C для анализа подозрительных вредоносных документов: 1) определение эксплойтов в потоках разных кодировок, 2) поиск и извлечение встроенных исполняемых файлов. Имея возможность находить внедренные спрятанные исполняемые файлы, QuickSand может обнаруживать документы, содержащие уязвимости нулевого дня (zero-day) или неизвестные запутанные эксплойты.

Форматы файлов для использования и активного определения содержимого

  • doc, docx, docm, rtf, etc
  • ppt, pptx, pps, ppsx, etc
  • xls, xlsx, etc
  • mime mso
  • eml email

Форматы файлов для оперативного обнаружения

  • Все перечисленные выше, плюс PDF.
  • Любой формат документа вроде HWP.

Версия Lite — Лицензия Mplv2


Спонсор публикаций Marketplace codeby

Начни бизнес с codeby ! - продай или купи любой товар и услугу. При расчетах используем биткоин. Сервис, который так долго ждали.


  • Ключевой словарь вплоть до 256 byte XOR
  • Поразрядный ROL, ROR, NOT
  • Математический шифр сложения или вычитания
  • Исполняемое извлечение: Windows, Mac, Linux, VBA
  • Поиск эксплойтов
  • Предварительная обработка RTF
  • Извлечение Hex stream
  • Извлечение Base 64 Stream
  • Извлечение встроенного Zip
  • Извлечение ExOleObjStgCompressedAtom
  • Декодирование zLib
  • Декодирование Mime Mso xml
  • Декодирование OpenXML (unzip)
  • Подписи Yara включали: исполняемые файлы, активное содержимое, эксплойты CVE 2014 и более ранние

Примеры результатов и больше информации можно получить здесьblog post

Зависимости

  • Yara 3.4+
  • zlib
  • libzip

Быстрый старт

  • ./build.sh
  • ./quicksand.out -h
  • ./quicksand.out malware.doc

<< Контент скрыт от гостей. Зарегистрируйтесь, чтобы снять ограничение ! >>

Это интересно:


|   Козырный хостинг на быстрых SSD   |


Похожие темы

Hakku Framework Penetration Test Tools Привет всем! В этой статье, я хочу познакомить вас с небольшим, простеньким фреймворком для проведения тестов на проникновение, под названием - Ha...
Reverse engineering APK | Mara Framework Привет! В этой публикации я покажу фреймворк, который позволит проводить реверс-инжиниринг APK файлов. Называется он MARA Framework... Читать далее ...
The Hive — бесплатная расширенная платформа ... Бесплатная Расширенная платформа реагирования на внезапные неполадки с открытым исходным кодом: The Hive TheHive является расширенным 3-в-1 решен...
Взлом Wifi WPA/WPA2 паролей с использованием Reave... Если у вас какие-либо проблемы с беспроводными устройствами, то следует ознакомиться со статьёй «Лучшие совместимые с Kali Linux USB Wi-Fi ад...
За гранью хакерских возможностей — 2... И так привет колеги. Сегодня погрузимся дальше в роль хакера пентестера и возьмем свой второй токен. Попадем на машину ssh(172.16.0.8). Вспоминаем ч...