GarbageMan

¿Qué es GarbageMan?

GarbageMan es un conjunto de herramientas diseñadas para el análisis del heap de .NET. Estas herramientas ofrecen las siguientes ventajas para los investigadores de malware:

• Capacidad para extraer rápidamente carga útil en texto claro (PE Images, etc.) de los heaps de .NET.
• Análisis sencillo de protocolos de red cifrados, signos de exfiltración de datos y similares.
• Capacidad para superar las técnicas de anti-dumping de malware (psnotify).

Puede encontrar una descripción más detallada, información general e instrucciones de uso en las herramientas de WithSecure Labs: https://labs.withsecure.com/tools/garbageman/

Puede encontrar más detalles sobre psnotify aquí: psnotify/README.md.

¿Cómo obtenerlo?

Descargue la última versión desde "Releases". Probablemente necesitará psnotify además de la versión de GarbageMan.

Para ejecutar GarbageMan, necesita instalar el runtime de escritorio .NET 5.0 para amd64 y x86 (sí, ambos). En la primera ejecución, Windows probablemente ofrezca el enlace de descarga automáticamente. Solo asegúrese de instalar los runtimes desktop.

Tenga en cuenta que GarbageMan y psnotify se desarrollaron y probaron solo en Windows 10 x64. Probablemente no funcionen en ninguna otra versión de Windows.

¿Cómo usarlo?

Curso rápido:

• Extraiga el archivo de la versión y ejecute GarbageMan.exe.
• Puede adjuntarse a un proceso en ejecución, ejecutar un nuevo proceso o abrir un minidump desde el menú File.
• También puede abrir una base de datos de GarbageMan existente.

Si necesita usar psnotify para volcados, debe extraerlo en C:\psnotify (sí, por ahora está fijo). Simplemente ejecute psnotify.exe y deténgalo con Ctrl+C cuando haya terminado. Creará minidumps en C:\dumps. Luego puede analizar esos volcados con GarbageMan.

Nota: Si desea especificar un directorio de trabajo desde el que se ejecute el programa, asegúrese de que psnotify no se esté ejecutando, ya que entraría en conflicto con GarbageMan.

Cómo compilar la herramienta GUI

Para compilar una versión, necesita instalar:

• MS Visual Studio 2019 o 2022 (seleccione la carga de trabajo de desarrollo de escritorio .NET)
• .NET 5.0 Runtime (como parte de VS; con VS2022 debe seleccionarlo desde "Componentes individuales")

Después de instalar VS, ejecute "Developer PowerShell for VS" y luego ejecute build.bat.

Tenga en cuenta que build.bat hace referencia a compress.ps1, que probablemente no se ejecutará correctamente hasta que su política permita ejecutar scripts de PowerShell.

Si todo va bien, debería producirse GarbageMan-X.X.X.zip, donde X.X.X es la versión de su compilación, tal como se define en las propiedades de ensamblado del proyecto GarbageMan. Si el script de PS falla, la compilación de la versión de GarbageMan debería seguir disponible en el directorio rel.