Alternate Data Stream Detektor [Release neue Version]

[richard_boderich]

Hallo zusammen!

Da ich mich gerade mit ADS beschäftige, hier ein kleines Tool, welches bei meiner Arbeit entstanden ist. Der "Alternate Data Stream Detektor".
Das Programm ist vielseitig einsetztbar. Es ermöglicht Euch z.B. die bequeme Auffindung und schnelle Entfernung unerwünschter bzw. "suspekter" ADS.

Das Programm ermöglicht folgende Datei-Operationen mit ADS:

• Suchen
• Lesen
• Entfernen
• Kopieren
• Umbenennen
• Extraktion
• Erzeugung
• Hashing (Identifizierung via MD5, SHA-1)

Über Fragen, Hinweise, Anregungen und geg. Bugreports würde ich mich sehr freuen.

Features:

• Durchsuchen der Festplatte oder einzelner Verzeichnisse nach Alternate Data Streams
• Möglichkeit zur bequemen Entfernung von unerwünschten ADS
• komfortables Extrahieren (Speichern als normale Datei) und Umbenennen von ADS
• Entfernt auch ADS die an Verzeichnisse (z.B 'C:\Windows') oder direkt an das Rootlaufwerk angehängt sind
• Möglichkeit zum Ausblenden von Standard ADS des Betriebssystem's
• farbliche Kennzeichnung der gefundenen ADS nach ihrer Kathegorie
• Erkennung von ausführbaren ADS via Signatur
• Hexansicht & Ascii-Ansicht des Streams mit MD5 und SHA-1 Hash
• Automatischer Virencheck via Virustotal (Multi-Engine)
• Archivierung bzw. Quarantäne von unkekannten/verdächtigen ADS
• alternativer Suchalgorithmus via NTFS-MFT (Scan von versteckten Filesystemobjecten oder speziellen Systemordnern, z.B. Ordner der System-Wiederherstellung)

Vorraussetztungen:

• Win2000, WindowsXP, Vista
• Dateisystem NTFS (Fat32 unterstützt keine ADS)
• aktive Onlineverbindung (bei Nutzung des Virustotal Onlinechecks)

getestet mit: Windows XP SP2

Anmerkungen:
Bevor ihr die Suche startet, solltet Ihr euren OnAccess-Virenscanner deaktivieren, da sich sonst die Dauer des Scanvorgangs, wegen der
ganzen Dateizugriffe signifikant erhöht. Falls Ihr den Virenscanner nicht deaktiviren wollt, so ist das auch kein Problem. Der Suchvorgang dauert dann nur etwas länger.

Danksagungen:
Hagen Reddmann für sein DEC
Alexander Freudenberg für NTFSQuery

Gruß Richard

Screenshot:
http://adsdetektor.rokop-security.de/detektor.jpg

[richard_boderich]

Es sind noch einige Verbesserungen geplant. Zum einen wird es einen Auswahldialog zum Scannen von unterschiedlichen Laufwerken bzw. Ordnern geben. Das Anlegen von ADS, Umbenennen usw. sowie Ausführlichere Protokollinformationen.

Gruß Richard

[BOH]

Zitat von mkinzler:

Zitat von BOH:

Das Bild ist doch da, sogar sehr groß...

Es ist aber ein externes bild, welches im Text eingelagert wurde. je nach Browsereinstellungen wird es dann nicht angezeigt. Außerdem könnte es auf dem externen server entfernt werden und es belastet die leitung von Benutzern mit schmaler bandbreite. deshalb besser als Anhang einfügen.

Sorry, das hatte ich dann nicht richtig verstanden Du hast natürlich absolut Recht, zumal das Bild auch den Thread ein wenig "sprengt"...

[Luckie]

Zitat von Pfoto:

ich hatte zuvor noch nie von ADS bei NTFS gehört. Habe eben zwar mal ein bischen
recherschiert und weiß jetzt, dass es vor allem Spyware benutzt.

Diese Pauschalisierung ist Unsinn. Ich hoffe, das ist dir bewußt.

[richard_boderich]

Moin!

Neue Version ist hochgeladen. Die wichtigsten Neuerungen sind.
1. Laufwerksauswahl/Verzeichnisbrowser-Dialog für gezielte Suche in anderen Laufwerken/Verzeichnissen.
2. Extraktion und Umbenennen von ADS sind nun möglich.
3. paar kleine Bugs wurden gefixt.

Gruß Richard

[richard_boderich]

Hallo allerseits!

Habe eine neue Version hochgeladen. Das Update beinhaltet folgende Verbesserungen.

1. Such-Engine neu geschrieben. (Es werden jetzt ALLE Dateien durchsucht)
2. Scanvorgang wurde beschleunigt
3. Es werden jetzt auch ADS gefunden, die an Verzeichnisse angehängt sind. Diese können nun ebenfalls entfernt werden.

mfG Richard

[Lannes]

Hallo,

interessantes Programm, aber es fehlt was, oder?

Meldung nach Angabe des zu durchsuchenden Ordners:
---------------------------
Project1
---------------------------
AVI kann nicht geöffnet werden.
---------------------------
OK
---------------------------

[Florian H]

Jo geht mir genauso..welchen Ordner ich auch nehme, "AVI" kann er nicht öffnen.

[richard_boderich]

@All,

tut mir sehr leid, hatte den falschen Projectordner erwischt. Habe jetzt nochmal das richtige Project hochgeladen.

mfG Richard

[ringli]

Sehr schönes Programm, aber natürlich auch noch 1-2 Fragen dazu:

1. Warum hast du die Farbe der Programmberfläche auf so ein Mint gesetzt anstatt sie auf clBtnFace stehen zu lassen?
2. Im "Verzeichnis auswählen"-Dialog werden nicht nur Ordner angezeigt sondern auch Archive. Ist das Absicht?

Ansonsten

[suni]

WOW Genial das ist genau das was ich gesucht habe =)Wirklich gute Arbeit.
Wirst du das Tool OpenSource machen? Mich würde wirklich mal sehr interessieren wie man mit delphi nach ADS Dateien sucht.

LG
suni