Paweł Goleń, blog

Jakby ktoś jeszcze nie wiedział, to w końcu jest dostępna finalna wersja BackTrack 3.

We wtorek swoją premierę miał Firefox 3. W jednej wypowiedzi Window Snyder powiedziała:

Panią Snyder uważam za kompetentną osobę, choćby z uwagi na książkę Threat Modeling , ale ta wypowiedź wybitnie jej nie wyszła...

Ostatnimi czasy było głośno o nowej wersji GPCode. Było głośno po części z uwagi na inicjatywę firmy Kaspersky, która to inicjatywa miała (przynajmniej według masowych doniesień) na celu złamanie klucza RSA wykorzystywanego przy szyfrowaniu plików. O tym, że jest to, delikatnie mówiąc, naiwne podejście pisał Schneier, a i inne wątpliwości były zgłaszane w tym temacie. Ponieważ ostatnio trochę czasu spędziłem ze Sleuthkit (i podobnymi) w ręku, zastanawiałem się, czy GPCode czyści zawartość oryginalnego pliku po jego zaszyfrowaniu. Okazuje się, że nie. Swoją drogą Robert Hensing wskazał na ciekawą nową funkcję w Windows Vista i Windows 2008.

Jednym z elementów analizy systemu (po incydencie) jest analiza pamięci fizycznej. Problemem jest oczywiście zdobycie obrazu tej pamięci. Kiedyś można było zdobyć go bezpośrednio nawet za pomocą narzędzia dd przy czym a samą pamięć można było odczytywać z \Device\PhysicalMemory. To się jednak zmieniło. W ostatnich dniach pojawiło się jednak kilka narzędzi, które na uzyskanie obrazu pamięci pozwalają.

Tak jak pisałem z debuggerem nie czuję się jakoś specjalnie zaprzyjaźniony. Jest jednak narzędzie, które może być pomocne w odkryciu tego, w jaki sposób proces explorer.exe jest infekowany przez malware. Narzędzie to jest częścią pakietu Debugging Tools For Windows i nazywa się Logger.