はじめに

ATMMalScan は、Windows 7 以降のオペレーティングシステム向けのコマンドラインツールで、DFIR プロセス中に ATM 上のマルウェアの痕跡を検索するのに役立ちます。このツールは、システムの実行中のプロセスと、指定されたファイルパスに応じてハードディスクを調査します。システムをスキャンするには、標準権限を持つユーザーで十分です。ただし、ATMMalScan は管理者権限で最良の結果を提供します。

既知の問題:

現在、ATMMalScan は Unicode を必要とするコードページをサポートしていません。つまり、例えばキリル文字や中国語の文字に設定されている Windows オペレーティングシステムでは、代表的な結果を保証できません。

必要条件:

スキャン対象の ATM に、少なくとも Visual C++ 再頒布可能パッケージ (Visual Studio 2015) がインストールされていることを確認してください。

使用方法（例）

Step1 => プロセスメモリとディスクをスキャンします。 ===> デバイス上で管理者権限が利用可能か確認してください（最良の結果を得るため！）

Step2 => ATMMalScan がプロセス内で XFS_DIRECT というマルウェアを検出し、そのスレッドとルール一致に関する詳細を表示します。さらに、悪意のあるプロセス、そのモジュール、スタックおよびヒープページを捕らえるために、完全なプロセスメモリダンプがディスクに保存されました。

Step3 => ダンプはこちらにあります => <ATMMalScan64.exe が起動されたディレクトリ> .\Dump

Step4 => Windbg でダンプファイルを開き、".writemem" を使用して ATM マルウェアをディスクに抽出します。

Step5 => お気に入りの PE フィクサーのいずれかでダンプされた PE を修復し、マルウェアの詳細な分析を開始します。