Analizando volcados de memoria: MANDIANT Memorize

Una de sus utilidades, que ya mencioné en una entrada anterior, es la de volcar el contenido de la memoria física en un fichero con formato raw, de forma que ésta pueda ser analizada con posterioridad. Por otra parte también puede realizarse el análisis de un sistema en ejecución, previa instalación del programa en el sistema objeto del análisis.

Según sus creadores, Memorize soporta los siguientes sistemas, todos ellos en sus versiones de 32 bits:

• Windows 2000 Service Pack 4
• Windows XP Service Pack 2 y Service Pack 3
• Windows 2003 Service Pack 2

Leer más...

Análisis de un volcado de memoria: mfinder

Prácticamente acabo de terminar de programar una herramienta, mfinder, que permite listar los procesos encontrados durante el análisis de un fichero de volcado de la memoria física de un sistema Windows 2000.

Está basada en PTfinder, un script de perl desarrollado por Andreas Schuster y que, además de ejecutarse mucho más rapido, admite más opciones. Por supuesto, para adaptar el algoritmo utilizado en el script original cuento con el beneplácito de Andreas, el cual se ha ofrecido incluso a publicitar mi herramienta en su blog. ¡Gracias Andreas!

Leer más...

Una de papers

Navegando por la red he encontrado algunos documentos muy interesantes que me gustaría compartir con todos vosotros. Son de temática variada pero predominan aquellos relacionados con el análisis de la memoria de los sistemas Windows, tema que espero poder tratar en breve.

Leer más...

Ocultación de procesos en Windows: DKOM

DKOM (Direct Kernel Object Manipulation) es una técnica que, basándose en el acceso al espacio de memoria del kernel, nos vá a permitir modificar el estado de los objetos del sistema. En concreto, nos vá a permitir:

• Ocultar procesos, drivers o puertos.
• Elevar el nivel de privilegio de un hilo y por tanto del proceso al que pertenece.
• Dificultar el análisis forense del sistema.

En esta entrada vamos a centrarnos en la ocultación de procesos, y para ello analizaremos una prueba de concepto que he desarrollado con dicha finalidad, dkomdriver. Para programarlo he consultado diferentes fuentes de información las cuales incluyo en el apartado de bibliografía.

Leer más...

Procesos e hilos de ejecución en Windows (II)

Voy a retomar el argumento de la primera entrada para centrarme, en este caso, en el objeto _EPROCESS (bloque ejecutivo de proceso) manejado por el kernel del sistema. Tal y como mencioné, se trata de la forma que tiene Windows de agrupar toda la información y recursos necesarios asociados con un proceso.

Analizaremos, utilizando la herramienta WinDbg la cual se incluye con las Microsoft Debugging Tools, los datos que conforman la estructura _EPROCESS y mencionaremos el significado de algunos de los más importantes. Todos los valores para los offsets incluidos aquí son particulares de un sistema Windows XP SP2, y esto es relevante dado que muchos de ellos variarán de una versión de Windows a otra, e incluso de un Service Pack a otro.

Leer más...

Volcados de la memoria física desde Windows

En este artículo vamos a dar un breve repaso a los diferentes métodos que existen actualmente para, mediante recursos software, obtener volcados de la memoria física en sistemas Windows. En una futura entrada veremos las herramientas disponibles para analizar cada uno de los tipos de volcados obtenidos.

Leer más...

Live View: arrancando un fichero de imagen

Live View es una herramienta utilísima, con un interfaz gráfico basado en java. Nos permite, a partir de una imagen en formato raw (un fichero obtenido mediante dd, por ejemplo), crear los ficheros de configuración necesarios para arrancar el sistema contenido en la imagen como una máquina virtual de vmware.

Leer más...