setodaNote

忘れる用のメモ書き

解析関連

Ghidra まとめ

入手先 Ghidra https://ghidra-sre.org/ 意図せずデバッグモードが有効になってしまうバグへの対処 Windows 設定ファイル(support/launch.bat)の140行にある * を 127.0.0.1 に修正 Linux 設定ファイル(support/launch.sh)の150行にある * を 127.0.0.…

Windows 10 における Zone Identifier の挙動:Web ブラウザによって異なる記録内容

背景 TLを眺めていたら以下の記事を見かけた。 Zone Identifier に記録される内容が Web ブラウザによって異なるというもの。 とっても面白かったので手元の環境でも試してみた。 thinkdfir.com (参考)Zone Identifierとは Windows XP SP2のZoneIdとは?:…

ThreatWar:ハニーポットの検知状況がリアルタイムに更新されているサイト

概要 弊ハニーポットのログに記録されていたID/パスワードについて調べていた際に ThreatWar というサイトを見つけた。 ハニーポットで検知したログなどが公開されていサイトのようで、 SSH試行された ID/パスワードに加えてそれに紐づく実行コマンドや Prox…

.SettingContent-ms への対策がされたと聞いて試してみた

背景 2018年7月頃に悪用され得るとして少し話題になった拡張子「.SettingContent-ms」。 すでにいくつか対策がされていたのに加えて、8月14日の WindwosUpdate において トリックが不可能になるようパスの検証が詳細にされるように 対策されたという記事 が…

Shodan のメンバーシップアカウントでできること

Shodan にはフリーのアカウントの他にメンバーシップ(Shodan Membership)というものがある。 フリーのアカウントでログインしている状態で下記にアクセスすると、メンバーシップについての説明を閲覧できる。 Shodan Membership メンバーシップについての…

解析環境:HTTPS通信も解析できるマルウェア解析環境の構築

以下のサイトで INetSim と BurpSuite を使って HTTPS に対応した形の 解析環境構築方法が紹介されていたので、これを参考にして HTTPS通信も解析できるマルウェア解析環境を作ってみる。 www.freebuf.com 目次 目次 解析環境の概要 REMnux の準備 キーボー…

MSDN サブスクリプションと Free Virtual Machines from IE8 to MS Edge

マルウェアの解析用にテスト用のOSがほしいときがある。 そんなときには「MSDN サブスクリプション」や 「Free Virtual Machines from IE8 to MS Edge」が便利。 MSDN サブスクリプション(有償) 古いものも含めて各種 Windows のインストール媒体イメージ…

Windowsでncコマンドやcurlコマンドを使えるようにする

Linux を使えばいいものの Windows で nc や curl を使いたいときがたまにあります。 いくつか方法はあると思いますが、ここでは Cygwin を使ってインストールしてみます。 Cygwin まずは以下のサイトから Cygwin をダウンロードします。 https://www.cygwin…

解析環境:マルウェア解析用の仮想環境の構築についての解説記事

OALabs Malware Analysis Virtual Machine oalabs.openanalysis.net マルウェア解析用の仮想環境の構築についての解説記事。 VMの入手、OSの入手などなど。 そういえばこういった解説記事はあまりないかも。 解析に利用するツール群も紹介されている。 Check…

解析記事:Ursnif(gozi)の解析妨害とその回避手法

Ursnif(gozi)の解析妨害とその回避手法 IIJ が発行しているレポートで Ursnif の解析方法がとても詳しく紹介されている。 Internet Infrastructure Review(IIR)Vol.34 2017年3月15日発行

oletools - OLEおよびMS Officeファイルを解析するためのPythonツール

oletools - OLEおよびMS Officeファイルを解析するためのPythonツール https://www.decalage.info/python/oletools 確認時の最新版:2018-05-30 v0.53 悪質な文書を分析するツール oleid:OLEファイルを分析して、悪質ファイルに含まれる特性を検出する olev…

ZoneID を付与する方法など

ZoneID とは ファイルの代替ストリーム(Alternate Data Stream, ADS)として記録される Zone.Identifier のひとつ。 外部から取得したファイルなどに付与され、ファイル起動時に警告を表示する/しないの判断などに利用されている。 Windows XP Service Pac…

Shodan的なサイト

ZoomEye - Cyberspace Search Engine Shodan と同じようにポートなどが空いているIPなどを探せるサイト。 https://www.zoomeye.org/ 使い方 「port:12345 country:Japan」で検索した場合の例。 https://www.zoomeye.org/searchResult?q=port%3A12345%20count…