linux_screenshot_xwindows

Intro The goal of this volatility plugin is to extract a screenshot of all open X windows from a memory dump. Previous work The volatility plugin linuxxwindows realised by Adam Bridge https://github.com/bridgeythegeek/linuxxwindows extracts various metadata from the window objects registered to X...

linux_screenshot_xwindows

はじめに このvolatilityプラグインの目的は、メモリダンプからすべての開いているXウィンドウのスクリーンショットを抽出することです。 関連研究 Adam Bridge https://github.com/bridgeythegeek/linuxxwindows が作成したvolatilityプラグイン linuxxwindows は、Xサーバのデータ構造を辿って特定される、Xに登録されているウィンドウオブジェクトから様々なメタデータを抽出します。例えば、各ウィンドウについて、ウィンドウの座標、幅と高さの寸法、ウィンドウ識別子をリストします。Adamの README...

MalConfScan

コンセプト MalConfScan は、既知のマルウェアの設定データを抽出する Volatility プラグインです。Volatility は、インシデント対応やマルウェア解析のためのオープンソースメモリフォレンジックフレームワークです。このツールはメモリイメージ内のマルウェアを検索し、設定データをダンプします。さらに、悪意のあるコードが参照する文字列を一覧表示する機能も備えています。 対応マルウェアファミリ MalConfScan は以下のマルウェア設定データ、デコードされた文字列、または DGA ドメインをダンプできます。 Ursnif Emotet Smoke Loader...

WindowsFirewallHookDriverEnumeration

Windows 防火墙钩子驱动程序枚举 用于在 Windows 2000、XP 和 2003 上枚举 Windows 防火墙钩子驱动程序的工具。 我们曾见过一个使用此技术的恶意代码样本。 挂钩技术 XP/2003 技术中的 Windows 防火墙挂钩功能 12345 使用发送到 \Device\Ip 的 IOCTLIPSETFIREWALLHOOK 这个 IOCTL。 root@kitploit: define FSCTLIPBASE FILEDEVICENETWORK define IPCTLCODEfunction, method, access CTLCODEFSCTLIPBASE...