QuickSand.io

Para QuickSand Versión 2 escrita en Python con soporte de análisis PDF, consulte quicksand.io.

QuickSand Versión 1 Lite ya no está en desarrollo activo.

QuickSand es un marco compacto en C para analizar documentos sospechosos de malware para 1) identificar exploits en flujos de diferentes codificaciones, 2) localizar y extraer ejecutables incrustados. Al tener la capacidad de localizar ejecutables ofuscados incrustados, QuickSand puede detectar documentos que contienen exploits ofuscados desconocidos o de día cero.

Formatos de archivo para detección de exploits y contenido activo

• doc, docx, docm, rtf, etc
• ppt, pptx, pps, ppsx, etc
• xls, xlsx, etc
• mime mso
• correo eml

Formatos de archivo para detección de ejecutables

• Todos los anteriores, más PDF.
• Cualquier formato de documento como HWP.

Versión Lite - Licencia Mplv2

• Diccionario de claves XOR de hasta 256 bytes
• Bitwise ROL, ROR, NOT
• Cifrado matemático de suma o resta
• Extracción de ejecutables: Windows, Mac, Linux, VBA
• Búsqueda de exploits
• Preprocesamiento RTF
• Extracción de flujo hexadecimal
• Extracción de flujo Base64
• Extracción de Zip incrustado
• Extracción de ExOleObjStgCompressedAtom
• Decodificación zLib
• Decodificación XML Mime Mso
• Decodificación OpenXML (descompresión)
• Firmas Yara incluidas: ejecutables, contenido activo, exploits CVE 2014 y anteriores

Resultados de ejemplo y más información entrada de blog

Versión Completa - Licencia Comercial

• Criptoanálisis de claves de 1-1024 bytes en factores de 2; o un tamaño impar especificado de 1-1024 bytes
• Búsqueda XOR de fuerza bruta sin reemplazo de espacio cero de 1 byte
• Cifrado XOR Look Ahead
• Más firmas Yara incluidas: todas las de Lite más los exploits más recientes 2014-2016 para identificación de CVE
• Pruebe la versión completa en línea en QuickSand.io

Dependencias (no incluidas)

• Yara 3.4+
• zlib 1.2.1+
• libzip 1.1.1+

Componentes distribuidos bajo su propia licencia

• MD5 por RSA Data Security, Inc.
• SHA1 por Paul E. Jones
• SHA2 por Aaron D. Gifford
• jWrite por TonyWilk para salida JSON
• tinydir por Cong Xu, Baudouin Feildel para procesamiento de directorios

Inicio rápido

• ./build.sh
• ./quicksand.out -h
• ./quicksand.out malware.doc

Documentación

QuickSand.io

Derechos de autor, licencia y marca registrada

El logotipo de la aplicación QuickSand son derechos de autor 2016 de Tylabs y su uso requiere permiso por escrito del autor.

El código fuente quicksand.c, libqs.h, libqs.c y las firmas Yara, excepto donde se indique, son derechos de autor 2016 de Tylabs.

Consulte la Licencia Pública de Mozilla Versión 2.0 incluida para obtener información sobre la licencia.