GarbageMan

GarbageMan क्या है?

GarbageMan .NET हीप विश्लेषण के लिए डिज़ाइन किए गए टूलों का एक सेट है। ये टूल मैलवेयर शोधकर्ताओं के लिए निम्नलिखित लाभ प्रदान करते हैं:

• .NET हीप्स से साफ़-पाठ (clear-text) पेलोड (PE इमेज आदि) शीघ्रता से निकालने की क्षमता।
• एन्क्रिप्टेड नेटवर्क प्रोटोकॉल, डेटा एक्सफ़िलट्रेशन के संकेत और इसी तरह के अन्य चीज़ों का आसान विश्लेषण।
• मैलवेयर एंटी-डंपिंग तकनीकों (psnotify) से निपटने की क्षमता।

अधिक विस्तृत विवरण, पृष्ठभूमि जानकारी और उपयोग निर्देश WithSecure Labs टूल्स पर पाए जा सकते हैं: https://labs.withsecure.com/tools/garbageman/

psnotify के बारे में अधिक विवरण यहाँ पाए जा सकते हैं: psnotify/README.md.

इसे कैसे प्राप्त करें?

"Releases" से नवीनतम रिलीज़ डाउनलोड करें। GarbageMan रिलीज़ के अतिरिक्त आपको संभवतः psnotify की भी आवश्यकता होगी।

GarbageMan चलाने के लिए, आपको amd64 और x86 के लिए .NET 5.0 डेस्कटॉप रनटाइम स्थापित करना होगा (हाँ, दोनों)। पहली बार चलाने पर, Windows संभवतः स्वचालित रूप से डाउनलोड लिंक प्रदान करेगा। बस सुनिश्चित करें कि आप desktop रनटाइम स्थापित करें।

ध्यान दें कि GarbageMan और psnotify केवल x64 Windows 10 पर विकसित और परीक्षण किए गए हैं। यह संभवतः किसी अन्य Windows संस्करण पर नहीं चलेगा।

इसका उपयोग कैसे करें?

त्वरित परिचय:

• रिलीज़ संग्रह निकालें, GarbageMan.exe चलाएँ
• आप चालू प्रक्रिया (process) से जुड़ सकते हैं, या नई प्रक्रिया चला सकते हैं, या File मेनू से minidump खोल सकते हैं
• आप मौजूदा GarbageMan डेटाबेस भी खोल सकते हैं

यदि आपको डंपिंग के लिए psnotify का उपयोग करने की आवश्यकता है, तो आपको इसे C:\psnotify में निकालना होगा (हाँ, अभी के लिए यह निश्चित है)। बस psnotify.exe चलाएँ और समाप्त होने पर Ctrl+C से इसे रोकें। यह C:\dumps में minidumps बनाएगा। आप बाद में उन डंपों का विश्लेषण GarbageMan के साथ कर सकते हैं।

नोट: यदि आप प्रोग्राम के चलने के लिए कार्यशील निर्देशिका (working directory) निर्दिष्ट करना चाहते हैं, तो सुनिश्चित करें कि psnotify नहीं चल रहा है क्योंकि यह GarbageMan के साथ टकराव करेगा।

GUI टूल कैसे संकलित करें

रिलीज़ संकलित करने के लिए, आपको स्थापित करना होगा:

• MS Visual Studio 2019 या 2022 (.NET डेस्कटॉप dev workload चुनें)
• .NET 5.0 Runtime (VS के भाग के रूप में, VS2022 के साथ आपको इसे "Individual components" से चुनना होगा)

VS स्थापित करने के बाद, "Developer PowerShell for VS" चलाएँ और फिर build.bat चलाएँ।

कृपया ध्यान दें कि build.bat compress.ps1 को संदर्भित करता है जो शायद तब तक ठीक से नहीं चलेगा जब तक आपकी नीति PowerShell स्क्रिप्ट चलाने की अनुमति नहीं देती।

यदि सब कुछ ठीक रहा, तो यह GarbageMan-X.X.X.zip उत्पन्न करना चाहिए जहाँ X.X.X आपके बिल्ड का संस्करण है, जैसा कि GarbageMan प्रोजेक्ट असेंबली गुणों में परिभाषित है। यदि PS स्क्रिप्ट विफल हो जाती है, तो GarbageMan रिलीज़ बिल्ड अभी भी निर्देशिका rel में उपलब्ध होना चाहिए।