Alternate Data Stream Detektor [Release neue Version]

[richard_boderich]

Hallo zusammen!

Da ich mich gerade mit ADS beschäftige, hier ein kleines Tool, welches bei meiner Arbeit entstanden ist. Der "Alternate Data Stream Detektor".
Das Programm ist vielseitig einsetztbar. Es ermöglicht Euch z.B. die bequeme Auffindung und schnelle Entfernung unerwünschter bzw. "suspekter" ADS.

Das Programm ermöglicht folgende Datei-Operationen mit ADS:

• Suchen
• Lesen
• Entfernen
• Kopieren
• Umbenennen
• Extraktion
• Erzeugung
• Hashing (Identifizierung via MD5, SHA-1)

Über Fragen, Hinweise, Anregungen und geg. Bugreports würde ich mich sehr freuen.

Features:

• Durchsuchen der Festplatte oder einzelner Verzeichnisse nach Alternate Data Streams
• Möglichkeit zur bequemen Entfernung von unerwünschten ADS
• komfortables Extrahieren (Speichern als normale Datei) und Umbenennen von ADS
• Entfernt auch ADS die an Verzeichnisse (z.B 'C:\Windows') oder direkt an das Rootlaufwerk angehängt sind
• Möglichkeit zum Ausblenden von Standard ADS des Betriebssystem's
• farbliche Kennzeichnung der gefundenen ADS nach ihrer Kathegorie
• Erkennung von ausführbaren ADS via Signatur
• Hexansicht & Ascii-Ansicht des Streams mit MD5 und SHA-1 Hash
• Automatischer Virencheck via Virustotal (Multi-Engine)
• Archivierung bzw. Quarantäne von unkekannten/verdächtigen ADS
• alternativer Suchalgorithmus via NTFS-MFT (Scan von versteckten Filesystemobjecten oder speziellen Systemordnern, z.B. Ordner der System-Wiederherstellung)

Vorraussetztungen:

• Win2000, WindowsXP, Vista
• Dateisystem NTFS (Fat32 unterstützt keine ADS)
• aktive Onlineverbindung (bei Nutzung des Virustotal Onlinechecks)

getestet mit: Windows XP SP2

Anmerkungen:
Bevor ihr die Suche startet, solltet Ihr euren OnAccess-Virenscanner deaktivieren, da sich sonst die Dauer des Scanvorgangs, wegen der
ganzen Dateizugriffe signifikant erhöht. Falls Ihr den Virenscanner nicht deaktiviren wollt, so ist das auch kein Problem. Der Suchvorgang dauert dann nur etwas länger.

Danksagungen:
Hagen Reddmann für sein DEC
Alexander Freudenberg für NTFSQuery

Gruß Richard

Screenshot:
http://adsdetektor.rokop-security.de/detektor.jpg

[richard_boderich]

Interessant himitsu,

könntest du mal ein paar dieser Unicode ADS zu testen hochladen. Um ehrlich zu sein, ich habe so wenig Feedback bekommen, das ich dachte das Programm benutzt gar kein Mensch mehr. Wird aber etwas dauern, im Moment arbeite ich an Fritzbox Control 2.0.
Danke für die ubrigen Bugmeldungen werde ich selbstverständlich fixen. markierte Löschen sollte jedoch schon funktionieren.

[himitsu]

hatte es zum Aufräumen genutzt und die unnützen ADS von meiner Daten und der Backupplatte entfernt.
(darum war es auch etwas unpraktisch, daß ich alle ADS einzeln anklicken mußte)

Aber es sah genauso aus, wie die ANSI-Version dieses DataStreams.
In beiden Varianten stand praktisch nur dieses:

Zitat:

[ZoneTransfer]
ZoneId=3

In der Unicodeversion natürlich nur noch zusätzlich ein #0 alle 2 Byte

Zitat von MichaelLinden:

Auf meinem 10"-er passt es leider nicht ganz rein

auf meinem 15"er paßte es auch mal nicht, aber ich vermute mal, daß Richard nicht unbedingt seine Formulare auf 10"-Größe erstellen möchte.

Hast du wenigstens ein paar Scrollbars, um das Programm eventuell dennoch nutzen zu können?

[richard_boderich]

@All

aus aktuellem Anlass bitte ich mal alle die ein Windows7 haben zu schauen ob ihr ein ADS an den Verzeichnis "C:\Windows"
hängen habt.

weiteres hier:

http://www.rokop-security.de/index.php?showtopic=19676

[ringli]

Also hier unter Windows 7 Ultimate ist kein ADS am Verzeichnis C:\Windows.

[Der.Kaktus]

Hallo Richard,

bei mir unter Windows 7 Home Premium ist auch kein ADS Verzeichnis unter C:\Windows.

[himitsu]

Windows 7 Pro 64

kein ADS am Windows-Verzeichnis

nur 2 vom NTFS:
- \$Extended\$RmMetadata\$Repair:$Config
- \$Extended\$RmMetadata\$TxfLog\$Tops:$T

[add]
ein Textexport von markierten Einrägen wäre schön

Zitat:

Verzeihnis\Dateiname:ADSName
Dateigröße - Hash
die ersten paar Byte des ADS als Hex und ASCII (oder so)
...