GarbageMan

Cos'è GarbageMan?

GarbageMan è un insieme di strumenti progettati per l'analisi dell'heap .NET. Questi strumenti offrono i seguenti vantaggi per i ricercatori di malware:

• Capacità di estrarre rapidamente payload in chiaro (immagini PE, ecc.) dagli heap .NET.
• Analisi facilitata di protocolli di rete cifrati, segni di esfiltrazione di dati e simili.
• Capacità di superare le tecniche anti-dumping dei malware (psnotify)

Una descrizione più dettagliata, informazioni di base e istruzioni per l'uso sono disponibili negli strumenti dei WithSecure Labs: https://labs.withsecure.com/tools/garbageman/

Maggiori dettagli su psnotify sono disponibili qui: psnotify/README.md.

Come ottenerlo?

Scarica l'ultima release dalla sezione "Releases". Probabilmente avrai bisogno di psnotify oltre alla release di GarbageMan.

Per eseguire GarbageMan, è necessario installare il runtime desktop .NET 5.0 per amd64 e x86 (sì, entrambi). Al primo avvio, Windows probabilmente offrirà automaticamente il link per il download. Assicurati semplicemente di installare i runtime desktop.

Nota che GarbageMan e psnotify sono stati sviluppati e testati solo su Windows 10 x64. Probabilmente non funzioneranno su nessun'altra versione di Windows.

Come si usa?

Guida rapida:

• Estrai l'archivio della release, esegui GarbageMan.exe
• Puoi collegarti a un processo in esecuzione, eseguire un nuovo processo oppure aprire un minidump dal menu File
• Puoi anche aprire un database GarbageMan esistente

Se devi usare psnotify per il dumping, devi estrarlo in C:\psnotify (sì, per ora è fisso). Basta eseguire psnotify.exe e fermarlo con Ctrl+C quando hai finito. Creerà minidump in C:\dumps. Potrai poi analizzare questi dump con GarbageMan.

Nota: Se desideri specificare una directory di lavoro da cui eseguire il programma, assicurati che psnotify non sia in esecuzione poiché entrerebbe in conflitto con GarbageMan.

Come compilare lo strumento GUI

Per compilare una release, devi installare:

• MS Visual Studio 2019 o 2022 (seleziona il carico di lavoro di sviluppo desktop .NET)
• Runtime .NET 5.0 (come parte di VS, con VS2022 devi selezionarlo da "Componenti singoli")

Dopo aver installato VS, esegui "Developer PowerShell per VS" e poi esegui build.bat.

Tieni presente che build.bat fa riferimento a compress.ps1, che probabilmente non verrà eseguito correttamente finché i criteri non consentono l'esecuzione di script PowerShell.

Se tutto va bene, questo dovrebbe produrre GarbageMan-X.X.X.zip, dove X.X.X è la versione della tua build, come definita nelle proprietà dell'assembly del progetto GarbageMan. Se lo script PS fallisce, la build release di GarbageMan dovrebbe essere comunque disponibile nella directory rel.