QuickSand.io

Para a QuickSand Versão 2 escrita em Python com suporte para análise de PDF, veja quicksand.io.

A QuickSand Versão 1 Lite não está mais sendo desenvolvida ativamente.

QuickSand é um framework compacto em C para analisar documentos suspeitos de malware para 1) identificar explorações em fluxos de diferentes codificações, 2) localizar e extrair executáveis incorporados. Ao ter a capacidade de localizar executáveis ofuscados incorporados, o QuickSand pode detectar documentos que contêm explorações ofuscadas de dia zero ou desconhecidas.

Formatos de Arquivo para Detecção de Exploração e Conteúdo Ativo

• doc, docx, docm, rtf, etc
• ppt, pptx, pps, ppsx, etc
• xls, xlsx, etc
• mime mso
• eml email

Formatos de Arquivo para Detecção de Executáveis

• Todos os listados acima, mais PDF.
• Qualquer formato de documento como HWP.

Versão Lite - Licença Mplv2

• Dicionário de chave XOR de até 256 bytes
• Bitwise ROL, ROR, NOT
• Cifra matemática de adição ou subtração
• Extração de executáveis: Windows, Mac, Linux, VBA
• Pesquisa de exploração
• Pré-processamento RTF
• Extração de fluxo hexadecimal
• Extração de fluxo Base64
• Extração de Zip incorporado
• ExOleObjStgCompressedAtom extract
• Decodificação zLib
• Decodificação XML Mime Mso
• Decodificação OpenXML (descompactar)
• Assinaturas Yara incluídas: Executáveis, conteúdo ativo, explorações CVE 2014 e anteriores

Exemplos de resultados e mais informações post no blog

Versão Completa - Licença Comercial

• Criptoanálise de chave de 1-1024 bytes fatores de 2; ou um tamanho ímpar especificado de 1-1024 bytes
• Pesquisa de força bruta XOR de 1 byte zerospace não substituído
• Cifra XOR Look Ahead
• Mais assinaturas Yara incluídas: Tudo da Lite mais as explorações mais recentes de 2014-2016 para identificação de CVE
• Experimente a versão completa online em QuickSand.io

Dependências (não incluídas)

• Yara 3.4+
• zlib 1.2.1+
• libzip 1.1.1+

Componentes distribuídos sob suas próprias licenças

• MD5 por RSA Data Security, Inc.
• SHA1 por Paul E. Jones
• SHA2 por Aaron D. Gifford
• jWrite por TonyWilk para saída json
• tinydir por Cong Xu, Baudouin Feildel para processamento de diretórios

Início Rápido

• ./build.sh
• ./quicksand.out -h
• ./quicksand.out malware.doc

Documentação

QuickSand.io

Direitos Autorais, Licença e Marca Comercial

O logotipo da aplicação QuickSand é protegido por direitos autorais 2016 Tylabs e seu uso requer permissão por escrito do autor.

O código-fonte quicksand.c, libqs.h, libqs.c e as assinaturas yara, exceto onde indicado, são protegidos por direitos autorais 2016 Tylabs.

Consulte a Licença Pública Mozilla Versão 2.0 incluída para informações de licenciamento.