Hollows Hunter: kwaadaardige implants detecteren vanuit de Windows-terminal

Een ideaal scenario is dat een antimalware-oplossing een dreiging volledig zelf afhandelt. Het echte probleem ontstaat wanneer een kwaadaardig element geavanceerd genoeg is om traditionele detectiemethoden te omzeilen. Beveiligingsexperts en malware-analisten weten precies waar ze moeten zoeken, maar als je geïnteresseerd bent in de tools die zij gebruiken, dan moet je een kopie van de software Hollows Hunter downloaden, die vanuit de Windows-terminal werkt.

Als iemand zonder IT-achtergrond de term "Trojaans paard" hoort, denkt diegene waarschijnlijk meteen aan het klassieke verhaal... maar het heeft voor ons een extra betekenis. Een betekenis die verband houdt met infecties, prestatieproblemen, gegevensverlies en nog ergere zaken. Gebruikers zitten gevangen in een wapenwedloop, met malware-ontwikkelaars die aan de ene kant nieuwe trucs leren en toepassen, en analisten die aan de andere kant vechten met de code. Wat kunnen we doen? Waar moeten we kijken?

Waar moet je op letten?

Een goed startpunt zijn de processen en elke mogelijke kwaadaardige implant die ze kan beïnvloeden. Volledige vervangingen van uitvoerbare bestanden, hooks, shellcodes, geheugenpatches, injecties en hollowing. Sommige conventionele antimalware-oplossingen negeren deze aspecten vaak, maar als je er meer over wilt weten of twijfelt over hun aanwezigheid in een systeem, is het geen slecht idee om een kopie van Hollows Hunter te downloaden, een tool gemaakt door de Poolse ontwikkelaarster en malware-analist Hasherezade.

Hollows Hunter is gebaseerd op een ander project van Hasherezade genaamd PE-Sieve en het doel is om alle draaiende processen te scannen om eventuele potentieel kwaadaardige implants te detecteren en te dumpen. Ik zeg "potentieel" omdat geen van deze twee tools zich gedraagt als een gewone antimalware. Valse positieven zijn aan de orde van de dag, en soms kan een hook voor een legitiem doel worden gebruikt. Het werk van Hollows Hunter is om hun aanwezigheid te detecteren, niet om ze te verwijderen.

Het goede nieuws is dat Hollows Hunter heel eenvoudig te gebruiken is. Pak het bestand uit in een tijdelijke map, open een terminal met beheerdersrechten, typ "hollows_hunter" en laat het zijn werk doen. Als alles goed gaat, blijft het aantal "Total Suspicious" op nul. Om de uitvoeringsparameters te kennen, volstaat het om /help of /? aan het einde toe te voegen.

Toegegeven, Hollows Hunter is geen tool voor beginners en wil dat ook niet zijn. Maar elke gebruiker die zich bewust is van de beveiliging van zijn systeem, of geïnteresseerd is om zijn voeten nat te maken in het malware-analysewater, zou zeker een kopie moeten downloaden.

Officiële site en download: Klik hier