fboldewin/atmmalscanBefehlszeilen-DFIR-Tool zum Scannen von Windows-ATM-Systemen zur Erkennung von Malware-Spuren im Prozessspeicher und auf der Festplatte, mit automatischer Erstellung von Speicherabbildern für die forensische Analyse.
ATMMalScan ist ein Kommandozeilentool für Windows-Betriebssysteme ab Version 7, das bei der DFIR-Untersuchung hilft, nach Schadsoftware-Spuren auf einem Geldautomaten zu suchen. Dieses Tool untersucht die laufenden Prozesse eines Systems sowie die Festplatte, abhängig vom angegebenen Dateipfad. Zum Scannen eines Systems reicht ein Benutzer mit Standardberechtigungen aus. ATMMalScan liefert jedoch die besten Ergebnisse mit Administratorrechten.
Derzeit unterstützt ATMMalScan keine Codepages, die Unicode erfordern. Das bedeutet, dass für Windows-Betriebssysteme, die z. B. auf kyrillische oder chinesische Zeichen eingestellt sind, kein repräsentatives Ergebnis garantiert werden kann.
Stellen Sie sicher, dass mindestens das Visual C++ Redistributable für Visual Studio 2015 auf dem zu scannenden Geldautomaten installiert ist.
Schritt1 => Prozessspeicher und Festplatte scannen. ===> Überprüfen, ob Administratorrechte auf dem Gerät verfügbar sind, um beste Ergebnisse zu erzielen!
Schritt2 => ATMMalScan hat eine als XFS_DIRECT bezeichnete Schadsoftware in einem Prozess erkannt, gibt Details zum Thread und den zutreffenden Regeln an.
Zudem wurde ein vollständiger Prozessspeicherdump auf die Festplatte gespeichert, um den schädlichen Prozess,
seine Module sowie dessen Stack- und Heap-Seiten zu erfassen.
Schritt3 => Dump kann hier gefunden werden => <Verzeichnis, in dem ATMMalScan64.exe gestartet wurde> .\Dump
Schritt4 => Dump-Datei mit Windbg öffnen und die ATM-Schadsoftware mit ".writemem" auf die Festplatte extrahieren
Schritt5 => Den gedumpten PE mit einem Ihrer bevorzugten PE-Fixer reparieren und mit der detaillierten Analyse der Schadsoftware beginnen.
