Alternate Data Stream Detektor [Release neue Version]

[richard_boderich]

Hallo zusammen!

Da ich mich gerade mit ADS beschäftige, hier ein kleines Tool, welches bei meiner Arbeit entstanden ist. Der "Alternate Data Stream Detektor".
Das Programm ist vielseitig einsetztbar. Es ermöglicht Euch z.B. die bequeme Auffindung und schnelle Entfernung unerwünschter bzw. "suspekter" ADS.

Das Programm ermöglicht folgende Datei-Operationen mit ADS:

• Suchen
• Lesen
• Entfernen
• Kopieren
• Umbenennen
• Extraktion
• Erzeugung
• Hashing (Identifizierung via MD5, SHA-1)

Über Fragen, Hinweise, Anregungen und geg. Bugreports würde ich mich sehr freuen.

Features:

• Durchsuchen der Festplatte oder einzelner Verzeichnisse nach Alternate Data Streams
• Möglichkeit zur bequemen Entfernung von unerwünschten ADS
• komfortables Extrahieren (Speichern als normale Datei) und Umbenennen von ADS
• Entfernt auch ADS die an Verzeichnisse (z.B 'C:\Windows') oder direkt an das Rootlaufwerk angehängt sind
• Möglichkeit zum Ausblenden von Standard ADS des Betriebssystem's
• farbliche Kennzeichnung der gefundenen ADS nach ihrer Kathegorie
• Erkennung von ausführbaren ADS via Signatur
• Hexansicht & Ascii-Ansicht des Streams mit MD5 und SHA-1 Hash
• Automatischer Virencheck via Virustotal (Multi-Engine)
• Archivierung bzw. Quarantäne von unkekannten/verdächtigen ADS
• alternativer Suchalgorithmus via NTFS-MFT (Scan von versteckten Filesystemobjecten oder speziellen Systemordnern, z.B. Ordner der System-Wiederherstellung)

Vorraussetztungen:

• Win2000, WindowsXP, Vista
• Dateisystem NTFS (Fat32 unterstützt keine ADS)
• aktive Onlineverbindung (bei Nutzung des Virustotal Onlinechecks)

getestet mit: Windows XP SP2

Anmerkungen:
Bevor ihr die Suche startet, solltet Ihr euren OnAccess-Virenscanner deaktivieren, da sich sonst die Dauer des Scanvorgangs, wegen der
ganzen Dateizugriffe signifikant erhöht. Falls Ihr den Virenscanner nicht deaktiviren wollt, so ist das auch kein Problem. Der Suchvorgang dauert dann nur etwas länger.

Danksagungen:
Hagen Reddmann für sein DEC
Alexander Freudenberg für NTFSQuery

Gruß Richard

Screenshot:
http://adsdetektor.rokop-security.de/detektor.jpg

[richard_boderich]

@All

Download im ersten Post ist aktualisiert!

Bugfixes & Changes

• Access Violation beim Ausblenden von Standard ADS-Streams behoben.
• kleinere Fehler in der Oberflächenlogik beseitigt
• Pause Button eingefügt

bitte mal testen.

[richard_boderich]

@All

ADS-Detektor V1.2.0.0 steht zum Download im ersten Post bereit!

Bugfixes & Changes

• Quarantänesystem überarbeitet und auf VST umgestellt
• Option "markierte Löschen", "markierte Zurückbewegen" hinzugefügt
• kleinere Fehler in der Oberflächenlogik beseitigt
• Probleme beim Enfernen von ADS, die an schreibgeschützte Hostfiles gebunden sind behoben
• sortieren nach Gefahrenklasse ist nun möglich

bitte mal testen und Rückmeldung geben.

wichtiger Hinweis!

Falls ihr noch alte Objecte in Quarantäne habt, müsst ihr sie vorher mit der alten Version zurückbewegen und mit der aktuellen Version 1.2 erneut
in Quarantäne nehmen. Dies ist nötig, weil mit V1.2 neue Objecteigenschaften integriert wurden, und die alten Versionen damit nicht mehr kompatible sind.

[himitsu]

die Version 1.2.0.0 (aus Post #1) stürtz komplett ab, wenn ich sie über meine 2. Partition laufen laß ... heißt, das Programm verschwindet einfach und das ohne irgendeine Fehlermeldung oder einen anderen Mucks von sich zu geben > der Prozeß verschwindet abrupt, nach etwa 5 Sekunden, aus dem Taskmanager und das Fenster ist weg.

egal ob über MFT oder normal

1. Partition (Systempartition) durchläuft er ohne Probleme.

[Mackhack]

Mach mal das 'll raus. Denn das ist kein English, noch nicht mal GhettoDeutschRapEnglish 8)

Oder gleich besser: "If you find bugs or have suggestions, please email me @..." oder "Bugs or suggestions, drop a line @ ..." oder "Found a bug? Keep it or email me @ ..."

[richard_boderich]

Habe mal ein neues Debug Release zu testen hochgeladen.

Es sind einige Verbesserungen und Fixes enthalten. Zum Beispiel wurde das Abfangen von Fehlern verbessert.

Rootlaufwerke werden jetzt auch bei normalem Scan Durchsucht. Ein MFT-Scan ist dazu nicht mehr notwendig.
Einfach nur das entsprechende Laufwerk auswählen. Beim Scannen wird jetzt zudem immer das oberste (ausgewählte FilesystemObject) in den Scan eingeschlossen.
Also wenn vorher ausgewählt wurde "C:\windows" wurde nur der Inhalt des Verzeichnisses gescannt. Also alles darunterliegende.
Nun wird auch "C:\windows" selbst mitgescannt.


Die Screenshots zeigen einen PI RAT in den ADS vom Windows-und Systemverzeichnis.


[edit=fkerber]Screenshots in den Anhang gepackt. Mfg, fkerber[/edit]

[Mackhack]

Fuer was ist denn das Programm und das ADS ueberhaupt?

[gneiss]

Hi,

ich hatte heute den Verdacht hatte, das sich ein Malware Prg in einem ADS versteckt hat
(Meldung beim kopieren auf FAT SD-Karte...)
habe ich nach einem Programm gesucht, das nicht nur den Namen der Stream, sondern auch desen Inhalt anzeigt.
Beim Googlen bin ich dann auf dieses Prg gestoßen. Prinzipiell ist es genau das was ich gesucht habe.
Daher zunächst mal ein großes Lob.
Im großen und ganzen ist das schon sehr ausgereift.

Auch wenn sich mein Verdacht nicht erhärtet hat wird das Prg in meiner Tool-Sammlung einen festen Platz erhalten.

Nur der vollständigkeit halber:
Es handelte sich bei meinen Streams um 'versehentlich erzeugte' !
Diese wurden von einem Programm (Tagrunner), welches beim Anlegen von Dateien das ':' Zeichen nicht korrekt ertfernt erstellt.

Zwei Sachen sind mir gleich aufgefallen:
1. Bei 'Stream speichern' kann man keine eigene Datei-Endung angeben
Nicht wirklich schlimm, man kann sie ja immer noch im Explorer umbenennen.
Bei mir waren das 'normale' JPG.
Trotzdem wäre es einfacher, wenn man die Endung direkt angeben könnte.
2. Der ADS-Name '.favicon' wird als 'unbekannter ADS ' geführt.
Sollte IMHO in 'bekannte ADS' (in .URL) umgestuft werden

[Mackhack]

Hab auch noch was gefunden:
Label18

Und einmal English und Deutsch gemixed was nicht schoen aussieht!

Beides siehe Screenshot!!!

[himitsu]

Der Unicodesupport fehlt leider.

ich hab hier ein paar .Zone.Identifier in Unicode

Delphi-Quellcode:

[ZoneTransfer]
ZoneId=3

da zeigt die Vorschau nur das erste "[" an (klar, wegen der darauffolgenden #0)
und er wird auch als "unbekannter ADS" eingestuft (die Ansiversion dagegen als "bekannter ADS").

Ach ja, dieses "Achtung ADS enthält binäre Daten" hab ich auch immer dastehn.

PS: Es wäre schön, wenn man mehrere ADS markieren und dort das Häkchen zusammen setzen/entfernen könnte.

PSS: Wenn dein Programm den ADS in der Deteilansicht nicht öffnen kann/darf, dann schläft es ein (reagiert nicht mehr)

[add]
Wenn man z.B. einen ADS löschen will, wärend noch das Laufwerk durchsucht wird, dann gibt es eine kleine Exception, danach bleibt die Liste mit den Streams "disabled", läßt sich also nicht mehr bediehnen und nun noch ein Neustart des Programms hilft.

[Micha88]

Das Programm sieht auf einem 19"-er gut aus
Auf meinem 10"-er passt es leider nicht ganz rein