Alternate Data Stream Detektor [Release neue Version]

[richard_boderich]

Hallo zusammen!

Da ich mich gerade mit ADS beschäftige, hier ein kleines Tool, welches bei meiner Arbeit entstanden ist. Der "Alternate Data Stream Detektor".
Das Programm ist vielseitig einsetztbar. Es ermöglicht Euch z.B. die bequeme Auffindung und schnelle Entfernung unerwünschter bzw. "suspekter" ADS.

Das Programm ermöglicht folgende Datei-Operationen mit ADS:

• Suchen
• Lesen
• Entfernen
• Kopieren
• Umbenennen
• Extraktion
• Erzeugung
• Hashing (Identifizierung via MD5, SHA-1)

Über Fragen, Hinweise, Anregungen und geg. Bugreports würde ich mich sehr freuen.

Features:

• Durchsuchen der Festplatte oder einzelner Verzeichnisse nach Alternate Data Streams
• Möglichkeit zur bequemen Entfernung von unerwünschten ADS
• komfortables Extrahieren (Speichern als normale Datei) und Umbenennen von ADS
• Entfernt auch ADS die an Verzeichnisse (z.B 'C:\Windows') oder direkt an das Rootlaufwerk angehängt sind
• Möglichkeit zum Ausblenden von Standard ADS des Betriebssystem's
• farbliche Kennzeichnung der gefundenen ADS nach ihrer Kathegorie
• Erkennung von ausführbaren ADS via Signatur
• Hexansicht & Ascii-Ansicht des Streams mit MD5 und SHA-1 Hash
• Automatischer Virencheck via Virustotal (Multi-Engine)
• Archivierung bzw. Quarantäne von unkekannten/verdächtigen ADS
• alternativer Suchalgorithmus via NTFS-MFT (Scan von versteckten Filesystemobjecten oder speziellen Systemordnern, z.B. Ordner der System-Wiederherstellung)

Vorraussetztungen:

• Win2000, WindowsXP, Vista
• Dateisystem NTFS (Fat32 unterstützt keine ADS)
• aktive Onlineverbindung (bei Nutzung des Virustotal Onlinechecks)

getestet mit: Windows XP SP2

Anmerkungen:
Bevor ihr die Suche startet, solltet Ihr euren OnAccess-Virenscanner deaktivieren, da sich sonst die Dauer des Scanvorgangs, wegen der
ganzen Dateizugriffe signifikant erhöht. Falls Ihr den Virenscanner nicht deaktiviren wollt, so ist das auch kein Problem. Der Suchvorgang dauert dann nur etwas länger.

Danksagungen:
Hagen Reddmann für sein DEC
Alexander Freudenberg für NTFSQuery

Gruß Richard

Screenshot:
http://adsdetektor.rokop-security.de/detektor.jpg

[Lannes]

Hallo,

jetzt funktioniert es

Ab Windows XP SP2 werden Dateien, die mit dem IE aus dem Inet heruntergeladen wurden, mit dem ADS Zone Identifier gekennzeichnet. Auch wird an die Thumbs.db der ADS :encryptable angehängt.

Wäre schön wenn diese ADS optional nicht mit erfasst würden, alternativ könnte eine Sortierung in der Anzeige mehr Übersicht verschaffen.

[richard_boderich]

Moin!

Neue Version ist hochgeladen. Verbesserungen:

1. standard ADS (welche z.B. vom Betriebssystem WinXP-SP2 verwendet werden) sind optional ausblendbar.
2. einige kleine Bugfixes und optische Änderungen

Gruß Richard

[Fuchtel]

Hallo Richard,

gutes Program, aber ich hab noch ein paar Verbesserungsvorschläge:

Das Hauptfenster sollte auf OnResize reagieren und die Größe des Fensters der gef. Files anpassen.
Anzeige einer Versionsnummer bzw. Datum
Was ist mit der Frage von suni:

Zitat:

Wirst du das Tool OpenSource machen? Mich würde wirklich mal sehr interessieren wie man mit delphi nach ADS Dateien sucht.

Wir warten auf Antwort!

Gruß Fuchtel

[richard_boderich]

@Fuchtel

Das Programm ist Freeware, jedoch habe ich nicht vor, den Sourcecode zur Verfügung zu stellen. Ich verweise da mal auf einen DP-Kollegen.
Luckie entwickelt zur Zeit ebenfalls ein ADS Werkzeug das er als Open Source veröffentlichen will.

mfG Richard

[richard_boderich]

@All

Ich habe eine neue Version hochgeladen. Einige Bugfixes sind eingeflossen.
ADS werden jetzt nach ihrer Kathegorie farblich gekennzeichnet. Desweiteren ist es jetzt auch möglich Streams zu erzeugen.

kleiner Ausblick auf die nächste Version -> Derzeit arbeite ich daran Ausfürbaren Code in ADS zu erkennen.

Gruß Richard

[Luckie]

Zitat von richard_boderich:

kleiner Ausblick auf die nächste Version -> Derzeit arbeite ich daran Ausfürbaren Code in ADS zu erkennen.

Den erkennt man relativ leicht. Die ersten 2 Bytes eine EXE Datei enthalten die Kennzeichnung "MZ". Aber es wäre viel interessanter auch andere binäre Dateien erkennen zu können. So macht es keinen Sinn angehängte Bitmaps als Text auszugeben. Oder anders ausgedrückt: Wie stellt man fest, ob es sich um Text handelt, den man dan auch ausgeben kann.

[richard_boderich]

@All

Habe eine neue Version hochgeladen. Neu sind unter anderem die Hashwertermittlung sowie die Executable Identifizierung und der Virustotal Check.
Natürlich sind wie immer viele kleine Verbesserungen mit eingeflosssen.

mfG Richard

[himitsu]

Filtert dein Programm eigentlich die "Standard"-ADS raus,
also die welche z.B. Windows für inige Dinge (Security und Co.) erstellt?

Weil wenn nicht, dann geht dein Programm bei mir nicht (Win XP SP2), denn es wird rein garnichts gefunden.

Ja und für Klein-Monitorbesitzer ist dasProgramm auch etwas schwer benutzbar ... ich darf jedenfalls mächtig hinundher scrollen.

[richard_boderich]

Also gefunden werden erst einmal alle ADS. Du kannst durch anhaken der Checkbox "Standard ADS ausblenden"
die Zone Identifier und Thumbnail ADS ausblenden.

mfG Richard

[xZise]

Zitat von richard_boderich:

[...]

• Möglichkeit zum Ausblenden von Standard ADS des Betriebssystem's

[...]

btw: Da gehört kein Apostroph hin (siehe "Besonderheiten")!