GarbageMan

O que é o GarbageMan?

GarbageMan é um conjunto de ferramentas projetado para análise de heap .NET. Essas ferramentas oferecem os seguintes benefícios para pesquisadores de malware:

• Capacidade de extrair payloads em texto claro (imagens PE etc.) de heaps .NET rapidamente.
• Análise fácil de protocolos de rede criptografados, sinais de exfiltração de dados e similares.
• Capacidade de superar técnicas anti-dump de malware (psnotify)

Uma descrição mais detalhada, informações de contexto e instruções de uso podem ser encontradas nas ferramentas do WithSecure Labs: https://labs.withsecure.com/tools/garbageman/

Mais detalhes sobre o psnotify podem ser encontrados aqui: psnotify/README.md.

Como obter?

Baixe a versão mais recente em "Releases". Você provavelmente precisará do psnotify além da versão do GarbageMan.

Para executar o GarbageMan, você precisa instalar o runtime de desktop .NET 5.0 para amd64 e x86 (sim, ambos). Na primeira execução, o Windows provavelmente oferecerá o link de download automaticamente. Apenas certifique-se de instalar os runtimes desktop.

Observe que o GarbageMan e o psnotify foram desenvolvidos e testados apenas no Windows 10 x64. Provavelmente não funcionarão em nenhuma outra versão do Windows.

Como usar?

Guia rápido:

• Extraia o arquivo da versão, execute GarbageMan.exe
• Você pode anexar a um processo em execução, executar um novo processo ou abrir um minidump no menu Arquivo
• Você também pode abrir um banco de dados GarbageMan existente

Se você precisar usar o psnotify para fazer dump, extraia-o para C:\psnotify (sim, é fixo por enquanto). Basta executar psnotify.exe e interrompê-lo com Ctrl+C quando terminar. Ele criará minidumps em C:\dumps. Posteriormente, você poderá analisar esses dumps com o GarbageMan.

Nota: Se você quiser especificar um diretório de trabalho para o programa executar, certifique-se de que o psnotify não esteja em execução, pois ele entrará em conflito com o GarbageMan.

Como compilar a ferramenta GUI

Para compilar uma versão, você precisa instalar:

• MS Visual Studio 2019 ou 2022 (selecione a carga de trabalho de desenvolvimento .NET desktop)
• Runtime .NET 5.0 (como parte do VS; com o VS2022, você precisa selecioná-lo em "Componentes individuais")

Após instalar o VS, execute "Developer PowerShell for VS" e então execute build.bat.

Por favor, observe que build.bat faz referência ao compress.ps1, que provavelmente não será executado corretamente até que sua política permita executar scripts do PowerShell.

Se tudo correr bem, isso deverá produzir GarbageMan-X.X.X.zip, onde X.X.X é a versão do seu build, conforme definido nas propriedades do assembly do projeto GarbageMan. Se o script PS falhar, o build da versão do GarbageMan ainda deverá estar disponível no diretório rel.