GarbageMan

Что такое GarbageMan?

GarbageMan — это набор инструментов, предназначенных для анализа .NET-куч. Эти инструменты дают исследователям вредоносного ПО следующие преимущества:

• Возможность быстро извлекать из .NET-куч полезные нагрузки в открытом виде (PE-образы и т. д.).
• Простой анализ зашифрованных сетевых протоколов, признаков эксфильтрации данных и тому подобного.
• Возможность обходить анти-дамп-техники вредоносного ПО (psnotify)

Более подробное описание, справочная информация и инструкции по использованию доступны в инструментах WithSecure Labs: https://labs.withsecure.com/tools/garbageman/

Более подробную информацию о psnotify можно найти здесь: psnotify/README.md.

Как получить?

Загрузите последний релиз из раздела «Releases». Вероятно, вам понадобится psnotify в дополнение к релизу GarbageMan.

Для запуска GarbageMan необходимо установить .NET 5.0 desktop runtime для amd64 и x86 (да, для обеих). При первом запуске Windows, вероятно, автоматически предложит ссылку для загрузки. Просто убедитесь, что установлены desktop-рантаймы.

Обратите внимание, что GarbageMan и psnotify разрабатывались и тестировались только в x64 Windows 10. Вероятно, они не будут работать в других версиях Windows.

Как использовать?

Краткий курс:

• Распакуйте архив релиза, запустите GarbageMan.exe
• Вы можете подключиться к запущенному процессу, запустить новый процесс или открыть минидамп из меню File
• Вы также можете открыть существующую базу данных GarbageMan

Если вам нужно использовать psnotify для дампа, необходимо распаковать его в C:\psnotify (да, пока что это фиксированный путь). Просто запустите psnotify.exe и остановите его с помощью Ctrl+C, когда закончите. Он создаст минидампы в C:\dumps. Затем вы сможете проанализировать эти дампы с помощью GarbageMan.

Примечание: Если вы хотите указать рабочий каталог для запускаемой программы, убедитесь, что psnotify не запущен, так как он будет конфликтовать с GarbageMan.

Как скомпилировать GUI-инструмент

Для компиляции релиза необходимо установить:

• MS Visual Studio 2019 или 2022 (выберите рабочую нагрузку .NET desktop dev)
• .NET 5.0 Runtime (в составе VS; в VS2022 его нужно выбрать из «Отдельные компоненты»)

После установки VS запустите «Developer PowerShell for VS», а затем выполните build.bat.

Обратите внимание, что build.bat ссылается на compress.ps1, который, скорее всего, не будет работать должным образом, пока ваша политика не разрешит выполнение PowerShell-скриптов.

Если всё пройдёт хорошо, будет создан GarbageMan-X.X.X.zip, где X.X.X — версия вашей сборки, определённая в свойствах сборки проекта GarbageMan. Если PS-скрипт завершится с ошибкой, релизная сборка GarbageMan всё равно должна быть доступна в каталоге rel.