QuickSand.io

PDF分析機能を備えたPythonで記述されたQuickSand Version 2については、quicksand.ioをご覧ください。

QuickSand Version 1 Liteは現在積極的に開発されていません。

QuickSandは、疑わしいマルウェアドキュメントを解析するコンパクトなCフレームワークです。1）異なるエンコーディングのストリーム内のエクスプロイトを特定し、2）埋め込まれた実行ファイルを特定して抽出します。埋め込まれた難読化された実行ファイルを特定できるため、QuickSandはゼロデイや未知の難読化されたエクスプロイトを含むドキュメントを検出できます。

エクスプロイトおよびアクティブコンテンツ検出のためのファイル形式

• doc, docx, docm, rtf, など
• ppt, pptx, pps, ppsx, など
• xls, xlsx, など
• mime mso
• eml メール

実行ファイル検出のためのファイル形式

• 上記すべてに加え、PDF。
• HWPなどのあらゆるドキュメント形式。

Lite版 - Mplv2ライセンス

• 最大256バイトXORのキー辞書
• ビット単位のROL、ROR、NOT
• 加算または減算の算術暗号
• 実行ファイル抽出: Windows、Mac、Linux、VBA
• エクスプロイト検索
• RTF前処理
• 16進ストリーム抽出
• Base64ストリーム抽出
• 埋め込みZip抽出
• ExOleObjStgCompressedAtom抽出
• zLibデコード
• Mime Mso XMLデコード
• OpenXMLデコード（unzip）
• Yaraシグネチャ含む: 実行ファイル、アクティブコンテンツ、エクスプロイトCVE 2014以前

結果の例や詳細情報はブログ記事をご覧ください。

フル版 - 商用ライセンス

• キー暗号解析 1-1024バイト（2の倍数）、または指定された奇数サイズ1-1024バイト
• 1バイトのゼロスペースを置換しないブルートフォースXOR検索
• XOR先読み暗号
• 追加Yaraシグネチャ含む: Lite版すべてに加え、CVE識別のための最新エクスプロイト2014-2016
• フル版をオンラインで試すには QuickSand.io

依存関係（含まれていません）

• Yara 3.4+
• zlib 1.2.1+
• libzip 1.1.1+

独自ライセンスのもとで配布されるコンポーネント

• MD5: RSA Data Security, Inc.
• SHA1: Paul E. Jones
• SHA2: Aaron D. Gifford
• jWrite: TonyWilk（JSON出力用）
• tinydir: Cong Xu、Baudouin Feildel（ディレクトリ処理用）

クイックスタート

• ./build.sh
• ./quicksand.out -h
• ./quicksand.out malware.doc

ドキュメント

QuickSand.io

著作権、ライセンス、商標

QuickSandアプリケーションのロゴは2016年Tylabsの著作物であり、その使用には作者の書面による許可が必要です。

ソースコードquicksand.c、libqs.h、libqs.c、および特に明記されている場合を除くYaraシグネチャは、2016年Tylabsの著作物です。

ライセンス情報については、同梱のMozilla Public License Version 2.0をご参照ください。