Posts Tagged ‘windows’

Hoy seré breve, pero conciso. Cuando hemos sospechado de algún fichero ejecutable, siempre hemos tenido dos opciones:

- La primera y menos recomendable, ejecutarlo y pensar que solo se “infectan” los demás. Nada recomendable

- La segunda, tener un sistema Windows virtualizado, ejecutarlo allí mientras monitorizamos con cosas como Filemon, Regmon, wireshark , etc…

Recientemente, he encontrado una forma más rápida, y que puede ayudarnos en casos muy concretos.

• VirusTotal – http://www.virustotal.com/es/
• Joebox – http://www.joebox.org/
• Anubis – http://anubis.iseclab.org/

Con VirusTotal podremos analizar ficheros con varios motores antivirus al mismo tiempo, nos dará una orientación sobre el tipo de ficheros que manejas. Además esta web viene de la mano de Hispasec Sistemas, muy buena referencia desde mi punto de vista.

Con Joebox podremos instalarnos una sandbox, y ejecutar en un entorno seguro virtual este ejecutable. Nos dará trazas con información relevante sobre su comportamiento. Este entorno virtual, es de fácil despliegue y con las mismas garantías de seguridad que una máquina virtual con sistema operativo independiente.

Por último Anubis, con su servicio online, analizará el binario y nos enviará un informe sobre su comportamiento. Un complemento ideal a cualquier sandbox, nos permitirá contrastar la información.

Cual ha sido mi sorpresa hoy, leyendo un artículo sobre implementación de Bacula Client en entornos Windows, encontré el siguiente comando:

findstr

Leyendo más sobre él, puedo concluir que tiene la apariencia de grep, que ni hablo del sed , pero con menos potencia:

findstr [/b] [/e] [/l] [/r] [/s] [/i] [/x] [/v] [/n] [/m] [/o] [/p] [/offline] [/g:file] [/f:file] [/c:string] [/d:dirlist] [/a:ColorAttribute] [strings] [[Drive:][Path] FileName [...]]

Ey!, que nos deja poner algunas expresiones regulares:

Referencias – http://www.microsoft.com/