搜索

[20521] 2021-02-21_ATMMalScan-DFIR搜索ATM上的恶意软件痕迹。

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-02-21_ATMMalScan-DFIR搜索ATM上的恶意软件痕迹。 A T M M a l S c a n   -   D F I R 搜 索 A T M 上 的 恶 意 软 件 痕 迹 。 f b o l d e w i n   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 2 - 2 1                                 A T M M a l S c a n 是 W i n d o w s   7 和 更 高 版 本 的 W i n d o w s 操 作 系 统 的 命 令 行 工 具 ， 有 助 于 在 D F I R 流 程 中 在 A T M 上 搜 索 恶 意 软 件 跟 踪 。 该 工 具 根 据 指 定 的 文 件 路 径 检 查 系 统 以 及 硬 盘 的 运 行 过 程 。 要 扫 描 系 统 ， 具 有 标 准 权 限 的 用 户 就 足 够 了 。 但 是 ， A T M M a l S c a n 具 有 管 理 员 权 限 ， 可 以 提 供 最 佳 结 果 。 已 知 的 问 题 ： 已 知 的 问 题 ：                 当 前 ， A T M M a l S c a n 不 支 持 需 要 U n i c o d e 的 代 码 页 ， 这 意 味 着 W i n d o w s 操 作 系 统 设 置 为 例 如 西 里 尔 字 母 或 中 文 字 符 ， 无 法 保 证 代 表 性 的 结 果 。 要 求 ： 要 求 ：                 确 保 至 少 要 扫 描 的 A T M 上 已 经 安 装 了 V i s u a l   S t u d i o   2 0 1 5 的 V i s u a l   C   + +   R e d i s t r i b u t a b l e 。 用 法 （ 示 例 ） 用 法 （ 示 例 ）                 步 骤 1   = > 扫 描 进 程 内 存 和 磁 盘 。 = = = > 检 查 设 备 上 是 否 具 有 管 理 员 权 限 以 获 得 最 佳 结
S t e p 2   = >   A T M M a l S c a n 在 进 程 中 检 测 到 一 个 名 为 X F S _ D I R E C T 的 恶 意 软 件 ， 提 供 有 关 线 程 及 其 规 则 匹 配 的 详 细 信 息 。 此 外 ， 完 整 的 进 程 内 存 转 储 已 保 存 到 磁 盘 ， 以 捕 获 恶 意 进 程 ， 其 模 块 以 及 其 堆 栈 和 堆 页 面 。 S t e p 3   = > 转 储 可 以 在 这 里 找 到 = > .   D u m p
S t e p 4   = > 使 用 W i n d b g 打 开 转 储 文 件 ， 并 使 用 “   . w r i t e m e m ” 将 A T M 恶 意 软 件 提 取 到 磁 盘 步 骤 5   = > 使 用 您 最 喜 欢 的 P E 修 复 程 序 之 一 修 复 转 储 的 P E ， 然 后 开 始 详 细 分 析 恶 意 软 件 。
项 目 地 址 ： h t t p s : / / g i t h u b . c o m / f b o l d e w i n / A T M M a l S c a n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理