Alternate Data Stream Detektor [Release neue Version]

richard_boderich

Hallo zusammen!

Da ich mich gerade mit ADS beschäftige, hier ein kleines Tool, welches bei meiner Arbeit entstanden ist. Der "Alternate Data Stream Detektor".
Das Programm ist vielseitig einsetztbar. Es ermöglicht Euch z.B. die bequeme Auffindung und schnelle Entfernung unerwünschter bzw. "suspekter" ADS.

Das Programm ermöglicht folgende Datei-Operationen mit ADS:

Suchen
Lesen
Entfernen
Kopieren
Umbenennen
Extraktion
Erzeugung
Hashing (Identifizierung via MD5, SHA-1)

Über Fragen, Hinweise, Anregungen und geg. Bugreports würde ich mich sehr freuen.

Features:

Durchsuchen der Festplatte oder einzelner Verzeichnisse nach Alternate Data Streams
Möglichkeit zur bequemen Entfernung von unerwünschten ADS
komfortables Extrahieren (Speichern als normale Datei) und Umbenennen von ADS
Entfernt auch ADS die an Verzeichnisse (z.B 'C:\Windows') oder direkt an das Rootlaufwerk angehängt sind
Möglichkeit zum Ausblenden von Standard ADS des Betriebssystem's
farbliche Kennzeichnung der gefundenen ADS nach ihrer Kathegorie
Erkennung von ausführbaren ADS via Signatur
Hexansicht & Ascii-Ansicht des Streams mit MD5 und SHA-1 Hash
Automatischer Virencheck via Virustotal (Multi-Engine)
Archivierung bzw. Quarantäne von unkekannten/verdächtigen ADS
alternativer Suchalgorithmus via NTFS-MFT (Scan von versteckten Filesystemobjecten oder speziellen Systemordnern, z.B. Ordner der System-Wiederherstellung)

Vorraussetztungen:

Win2000, WindowsXP, Vista
Dateisystem NTFS (Fat32 unterstützt keine ADS)
aktive Onlineverbindung (bei Nutzung des Virustotal Onlinechecks)

getestet mit: Windows XP SP2

Anmerkungen:
Bevor ihr die Suche startet, solltet Ihr euren OnAccess-Virenscanner deaktivieren, da sich sonst die Dauer des Scanvorgangs, wegen der
ganzen Dateizugriffe signifikant erhöht. Falls Ihr den Virenscanner nicht deaktiviren wollt, so ist das auch kein Problem. Der Suchvorgang dauert dann nur etwas länger.

Danksagungen:
Hagen Reddmann für sein DEC
Alexander Freudenberg für NTFSQuery

Gruß Richard

Screenshot:

http://adsdetektor.rokop-security.de/detektor.jpg

**MagicAndre1981**

wo ist der Link oder der Anhang?

**richard_boderich**

hm..., sollte eigentlich alles da sein.

Gruß Richard

**MagicAndre1981**

nun ist der Anhang da.

**f.siebler**

und das Bild bitte auch anhängen

danke

**BOH**

Das Bild ist doch da, sogar sehr groß...

**mkinzler**

Zitat von BOH:

Das Bild ist doch da, sogar sehr groß...

Es ist aber ein externes bild, welches im Text eingelagert wurde. je nach Browsereinstellungen wird es dann nicht angezeigt. Außerdem könnte es auf dem externen server entfernt werden und es belastet die leitung von Benutzern mit schmaler bandbreite. deshalb besser als Anhang einfügen.

**Pfoto**

Hallo Richard,

ich hatte zuvor noch nie von ADS bei NTFS gehört. Habe eben zwar mal ein bischen
recherschiert und weiß jetzt, dass es vor allem Spyware benutzt.

Aber für welchen sinnvollen Zweck existieren diese ADS bei NTFS?
Welche "guten" Programme machen Gebrauch davon und in welcher Situation?

Würde mich mal interessieren...

Gruß
Pfoto

**phXql**

Der Internet Exploiter speichert afaik in einem ADS, ob die Datei aus dem Internet heruntergeladen wurde, und Windows zeigt dann eine zusätzliche Warnung beim Starten der Anwendung an.

Ebenso kannst du in einem ADS, zB. ":config" die Konfigurationsdatei deines Programms vor der Auslieferung speichern, die es dann extrahiert... Oder so.

MagicAndre1981 Delphi 7 Enterprise	#2 1. Okt 2007, 12:20 wo ist der Link oder der Anhang? André
	Zitat

richard_boderich Delphi 7 Architect	#3 1. Okt 2007, 12:23 hm..., sollte eigentlich alles da sein. Gruß Richard
	Zitat

MagicAndre1981 Delphi 7 Enterprise	#4 1. Okt 2007, 12:52 nun ist der Anhang da. André
	Zitat

f.siebler Delphi 2006 Professional	#5 1. Okt 2007, 13:09 und das Bild bitte auch anhängen danke
	Zitat

BOH Delphi 5 Professional	#6 1. Okt 2007, 13:22 Das Bild ist doch da, sogar sehr groß...
	Zitat

mkinzler Delphi 11 Alexandria	#7 1. Okt 2007, 13:40 Zitat von BOH: Das Bild ist doch da, sogar sehr groß... Es ist aber ein externes bild, welches im Text eingelagert wurde. je nach Browsereinstellungen wird es dann nicht angezeigt. Außerdem könnte es auf dem externen server entfernt werden und es belastet die leitung von Benutzern mit schmaler bandbreite. deshalb besser als Anhang einfügen. Markus Kinzler
	Zitat

Pfoto Turbo Delphi für Win32	#8 1. Okt 2007, 16:34 Hallo Richard, ich hatte zuvor noch nie von ADS bei NTFS gehört. Habe eben zwar mal ein bischen recherschiert und weiß jetzt, dass es vor allem Spyware benutzt. Aber für welchen sinnvollen Zweck existieren diese ADS bei NTFS? Welche "guten" Programme machen Gebrauch davon und in welcher Situation? Würde mich mal interessieren... Gruß Pfoto Jürgen Höfs
	Zitat

phXql	#9 1. Okt 2007, 17:14 Der Internet Exploiter speichert afaik in einem ADS, ob die Datei aus dem Internet heruntergeladen wurde, und Windows zeigt dann eine zusätzliche Warnung beim Starten der Anwendung an.
	Zitat

Dax	#10 1. Okt 2007, 18:47 Ebenso kannst du in einem ADS, zB. ":config" die Konfigurationsdatei deines Programms vor der Auslieferung speichern, die es dann extrahiert... Oder so.
	Zitat

Alternate Data Stream Detektor [Release neue Version]

Forumregeln