Alternate Data Stream Detektor [Release neue Version]

[richard_boderich]

Hallo zusammen!

Da ich mich gerade mit ADS beschäftige, hier ein kleines Tool, welches bei meiner Arbeit entstanden ist. Der "Alternate Data Stream Detektor".
Das Programm ist vielseitig einsetztbar. Es ermöglicht Euch z.B. die bequeme Auffindung und schnelle Entfernung unerwünschter bzw. "suspekter" ADS.

Das Programm ermöglicht folgende Datei-Operationen mit ADS:

• Suchen
• Lesen
• Entfernen
• Kopieren
• Umbenennen
• Extraktion
• Erzeugung
• Hashing (Identifizierung via MD5, SHA-1)

Über Fragen, Hinweise, Anregungen und geg. Bugreports würde ich mich sehr freuen.

Features:

• Durchsuchen der Festplatte oder einzelner Verzeichnisse nach Alternate Data Streams
• Möglichkeit zur bequemen Entfernung von unerwünschten ADS
• komfortables Extrahieren (Speichern als normale Datei) und Umbenennen von ADS
• Entfernt auch ADS die an Verzeichnisse (z.B 'C:\Windows') oder direkt an das Rootlaufwerk angehängt sind
• Möglichkeit zum Ausblenden von Standard ADS des Betriebssystem's
• farbliche Kennzeichnung der gefundenen ADS nach ihrer Kathegorie
• Erkennung von ausführbaren ADS via Signatur
• Hexansicht & Ascii-Ansicht des Streams mit MD5 und SHA-1 Hash
• Automatischer Virencheck via Virustotal (Multi-Engine)
• Archivierung bzw. Quarantäne von unkekannten/verdächtigen ADS
• alternativer Suchalgorithmus via NTFS-MFT (Scan von versteckten Filesystemobjecten oder speziellen Systemordnern, z.B. Ordner der System-Wiederherstellung)

Vorraussetztungen:

• Win2000, WindowsXP, Vista
• Dateisystem NTFS (Fat32 unterstützt keine ADS)
• aktive Onlineverbindung (bei Nutzung des Virustotal Onlinechecks)

getestet mit: Windows XP SP2

Anmerkungen:
Bevor ihr die Suche startet, solltet Ihr euren OnAccess-Virenscanner deaktivieren, da sich sonst die Dauer des Scanvorgangs, wegen der
ganzen Dateizugriffe signifikant erhöht. Falls Ihr den Virenscanner nicht deaktiviren wollt, so ist das auch kein Problem. Der Suchvorgang dauert dann nur etwas länger.

Danksagungen:
Hagen Reddmann für sein DEC
Alexander Freudenberg für NTFSQuery

Gruß Richard

Screenshot:
http://adsdetektor.rokop-security.de/detektor.jpg

[richard_boderich]

Moin!

Version 1.0 ist hochgeladen. Screenshot wurde aktualisiert.

Neue Features:

• Scanning via NTFS-MFT um versteckte Filesystemobjecte oder spezielle Systemordner zu durchsuchen (z.B. Ordner der System-Wiederherstellung)
• Es werden jetzt auch ADS gefunden, die an das Rootlaufwerk angehängt sind. Diese können selbstverständlich auch entfernt werden. (Dank an Datalino für den Hinweis)
• Fehler behoben -> Detailansicht funktionierte nicht mit ADS die an Verzeichnisse geknüpft waren.
• kleinere Bugfixes und Designänderungen

[Fridolin Walther]

Ich vermisse in deinem About Fenster irgendwie die Credits für Alexander Freudenberg. Immerhin benutzt Du für Deine MFT Scan Implementierung NTFSQuery.

[richard_boderich]

@0xF30FC7

Das ist korrekt! Und wird im Laufe des Tages korrigiert. Ich hatte es vergessen, da der "About" Dialog für mich
nicht so im Vordergrund steht. Ich habe grad bemerkt, das dort auch noch die alte Version 0.81 vermerkt ist.
Danke für den Hinweis.

//Edit: Neue Version ist hochgeladen

[taaktaak]

Ähhhmmm, was ist ADS?
Habe hierzu den Begriff "Active Directory Services" gefunden, kann aber den Zusammenhang zu deinem Programm nicht erkennen. Ist eine kurze Erklärung für einen Laien möglich?

[DeddyH]

Wikipedia

[taaktaak]

Danke, sehr interessant

[richard_boderich]

@All

Der neue ADS Detektor V1.1 ist online.

Verbesserungen & fixed Bugs

• Alphanumererische Sortierung im VST funktioniert jetzt korrekt
• Sortierung nach Zeitstempel funktioniert jetzt korrekt
• NTFS Laufwerksauswahl für MFT Deep Scan eingefügt (mal bitte mit externen USB Fesplatten testen)
• Option "markierte löschen" eingefügt, um ADS selektiv löschen zu können
• Performance des Logfilesystems verbessert
• Preview wird nun Ordnunggemäß geleert, wenn Node gelöscht wird
• Rating-Kathegorie eingeführt
• Scanvorgang lässt sich nun pausieren (THX an Solution-Design for Inspiration )
• ein paar kleinere Schönheitsfehler in der Programmlogic beseitigt
• Programm fordert jetzt selbständig die unter Vista benötigten Rechte via UAC an

[Phoenix]

Ich hätte da nen Feature-Request

Wie wäre es mit einer Shell-Extension? Im Kontext-Menü einer Datei werden, wenn die Datei zusätzliche Streams hat, diese angezeigt und mit einem Klick darauf gleich gelöscht.

Hintergrund: Vista hat ein Berechtigungs-Problem wenn Dateien mit alternativen Streams in einem Netzwerk von einem entfernten Rechner auf den lokalen Vista-Client kopiert werden sollen. Wenn man die Streams vor dem Kopieren einfach per Rechtsklick -> Streams löschen entfernen könnte würde das einiges erleichtern

[richard_boderich]

@Phoenix

Die Idee ist gut! Ich werde versuchen deinen Vorschlag in der nächsten Version umzusetzten.

//Edit: Und immer schön Bugs melden

[richard_boderich]

@All

Ich habe folgende Bugmeldung bekommen:

Folgender, reproduzierbarer Fehler tritt auf, wenn ich benutzerdefinierten Ordner scanne und danach Haken bei "standard ADS ausblenden" setze

http://www.abload.de/image.php?img=s...ot00022ebp.jpg

Das seltsame daran ist, das ich den Bug auf meinem Intel P3 System reproduzieren kann, auf meinem AMD Athlon64 System jedoch nicht! Egal wie sehr ich die
Anwendung getritzt habe. Auch auf meinem AMD Host System kann ich ihn nicht provozieren. Kann bitte jemand mit einem AMD System mal gegentesten?