Truehunter

Truehunter का लक्ष्य तेज़ और मेमोरी कुशल दृष्टिकोण का उपयोग करके एन्क्रिप्टेड कंटेनरों का पता लगाना है, बिना किसी बाहरी निर्भरता के, सुवाह्यता को आसान बनाने के लिए। यह Truecrypt और Veracrypt कंटेनरों का पता लगाने के लिए डिज़ाइन किया गया था, हालांकि यह किसी भी एन्क्रिप्टेड फ़ाइल का पता लगा सकता है जिसका 'हेडर' इसके डेटाबेस में शामिल नहीं है।

Truehunter निम्नलिखित जांचें करता है:

1. फ़ाइल के पहले 8 बाइट्स का अपने डेटाबेस के विरुद्ध परीक्षण करता है।
2. फ़ाइल आकार modulo 64 शून्य होना चाहिए।
3. फ़ाइल एंट्रॉपी की गणना करता है।

Truehunter BlackArch फोरेंसिक टूल्स का हिस्सा है।
https://blackarch.org/forensic.html

स्थापना

कोई भी Python संस्करण 2.7-3.7 तक काम करना चाहिए, इसे किसी अतिरिक्त लाइब्रेरी की आवश्यकता नहीं है।

उपयोग

हेडर डेटाबेस फ़ाइल पहले उपयोग के साथ बनाई जाएगी, और प्रत्येक स्कैन के बाद अपडेट की जा सकती है। ध्यान दें यह सही हेडर डेटाबेस नहीं है, बस प्रत्येक फ़ाइल, एक्सटेंशन और तिथि के पहले 8 बाइट्स हैं (यह PoC के रूप में काम करता है)।

Fast Scan: उन फ़ाइलों को खोजता है जिनका आकार % 64 = 0 (ब्लॉक सिफर), अज्ञात हेडर और MAXHEADER मान (डिफ़ॉल्ट 3) से कम बार दिखाई देते हैं।
Default Scan: एक fast scan करता है और परिणामी फ़ाइलों की एंट्रॉपी की गणना करता है ताकि गलत सकारात्मकता को कम किया जा सके।

usage: truehunter.py [-h] [-D HEADERSFILE] [-m MINSIZE] [-M MAXSIZE]  
                     [-R MAXHEADER] [-f] [-o OUTPUTFILE]  
                      LOCATION  
  
Checks for file size, unknown header, and entropy of files to determine if  
they are encrypted containers.  
  
positional arguments:  
  LOCATION              Drive or directory to scan.  

optional arguments:  
  -h, --help            show this help message and exit.   
  -D HEADERSFILE, --database HEADERSFILE  
                        Headers database file, default headers.db  
  -m MINSIZE, --minsize MINSIZE  
                        Minimum file size in Kb, default 1Mb.  
  -M MAXSIZE, --maxsize MAXSIZE  
                        Maximum file size in Kb, default 100Mb.  
  -R MAXHEADER, --repeatHeader MAXHEADER  
                        Discard files with unknown headers repeated more than  
                        N times, default 3.  
  -f, --fast            Do not calculate entropy.  
  -o OUTPUTFILE, --outputfile OUTPUTFILE  
                        Scan results file name, default scan_results.csv

लाइसेंस: GPLv3

Truehunter
लेखक Andres Doreste
कॉपीराइट (C) 2015, Andres Doreste
लाइसेंस: GPLv3