Mensajes

Released Buster Sandbox Analyzer 1.68.

Changes:

+ Added support to analyze URLs from command line
+ Added support for FakeNet
+ Updated ssdeep tool to version 2.8
+ Updated BSA.DAT
+ Updated LOG_API
+ Fixed several bugs

Sobre el tema de los keyloggers, voy a aventurarme a decir algo, aunque al no saber de esto lo mismo es una chorrada xD, podrían mirarse (lo que no se es como) patrones que sigan todos los keyloggers aparte del uso de ese API, para así poder crear una regla que se ajuste más al comportamiento de los loggers y no de cualquier software que utilice el API en concreto.

Las reglas "per se" ya existen.

Los patrones típicos que siguen los keyloggers son, además de capturar las pulsaciones obviamente:

- Escribir en disco lo que capturan
- Mandar por internet la información capturada

Por lo tanto la forma de confirmar que se trata de un keylogger sería:

- Chequear los ficheros que se han escrito en disco y mirar si contienen cosas que hayas escrito. Un problema podría ser que la información estuviera cifrada.

- Chequear el tráfico de red de la misma forma que harías con los ficheros escritos en disco.

El asunto tiene cierta ironía: el tema de la detección de los keyloggers es complejo debido a la sencillez con la que se puede programar uno. Y digo lo de la ironía porque cuanto más complejo es un malware, más acciones realiza, y cuantas más acciones realiza, más fácil resulta concluir que es un malware.

Hola Buster, me gustaría saber si hay alguna guia o manual donde aparezca una lista con todas las acciones sospechosas de malware que analiza tu software y los motivos que llevan a activar o no cada una de ellas.

Vas a Utilities > Malware Analyzer > Risk Evaluating Ratings

Ahí están listadas todas las acciones sospechosas. Si activas los "hint" (Settings > Show Hints) podrás ver una descripción.

Si quieres una explicación técnica de alguna acción en concreto me lo dices.

Estuve mirando en tu pagina y el manual, pero no vi lo que busco, tal vez necesite releerlo más a fondo.

En el manual no viene.

Lo pregunto porque analice software creado por mi (un sencillo script en python) y me saltaba la alerta de keylogger y alguna otra más que ahora por desgracia no recuerdo, el script solo realiza una lectura de un parametro via teclado y devuelve algo por pantalla, como digo, muy simple, por lo que me sorprende que detecte eso.

La alerta de keylogger es algo que casi siempre hay que descartar. De hecho he estado tentado en varias ocasiones de eliminar esa alerta o de al menos cambiar para que no salte tan fácilmente.

El problema está en que una API que se puede usar para crear un keylogger es muy común y casi todas las aplicaciones la usan.

El dilema está entre si debería eliminar la API para evitar esa alerta o si debería dejarla porque es más importante que si un keylogger la usa el programa saque la alerta.

Estoy empezando a pensar que debería eliminar la API.

Saludos.

Disponible la versión 1.67 de Buster Sandbox Analyzer.

Cambios:

+ Mejorado el soporte de la sección "[File_Strings]" en BSA.DAT
+ Añadida la sección "[Custom_LogAPI_Entries]" en BSA.DAT
+ Añadida el soporte para comodines en RegistryExclude.TXT
+ Añadido soporte para la utilidad HexDive de Hexacorn
+ Añadido nuevos comportamientos malware
+ Incluído nuevos comportamientos malware en "Ratios de Evaluación de Riesgo"
+ Añadido soporte de LOG_API para aplicaciones de 64-bit

Disponible la versión 1.66 del Buster Sandbox Analyzer.

Cambios:

+ Añadidos nuevos comportamientos malware
+ Mejorada la función que vuelca procesos
+ Actualización de BSA.DAT
+ Actualización de LOG_API
+ Corregidos varios fallos

Con primer vistazo me refería a la impresión al ver la unica imagen que hay aquí http://sandboxie.com/phpbb/viewtopic.php?t=6557

Tienes un video donde puedes ver la instalación y la configuración del software necesario:

http://www.youtube.com/watch?feature=player_embedded&v=MXASXoq5akc

twoz: ¿ya le has echado un vistazo?

El primer vistazo a la aplicación no me ha convencido mucho

Dices que todavía no lo descargaste. Entonces, ¿cómo le echaste un primer vistazo sin haberlo descargado y probado?

¿Y exactamente qué es lo que viste y que no te convenció?

, pero viendo el log que hay en la primera pagina me ha convencido totalmente! así que esta misma tarde lo descargo en casa para empezar a trastear con el.

Si te refieres a los logs que aparecen aquí:

http://bsa.isoftware.nl/frame9.htm

te diré que, aunque básicamente siguen siendo los mismos logs, ahora probablemente contendrían más información.

Eso si, entrar en la web oficial me ha devuelto al pasado xD un consejo hermano! actualiza un poco el estilo de la web, parece de los 90 :p pero por lo demás, todo ok.

El diseño nunca ha sido mi fuerte pero sí que me gustaría cambiar la web. Supongo que debería quitar toda la información técnica y dejar un diseño más estético.

En cuanto hayas probado la aplicación deja tus comentarios. Si tienes cualquier duda primero lee el manual, y si es algo relacionado con la instalación o la configuración échale un vistazo al video que puse en youtube. Si después de eso todavía sigues con dudas puedes plantearlas aquí y te las resuelvo.

Disponible la versión 1.64 del Buster Sandbox Analyzer.

Disponible la versión 1.63 del Buster Sandbox Analyzer: se mejoraron funciones ya existentes y se corrigieron algunos fallos en el código.

Esta versión ha sido probada con casi 30.000 malwares y la estabilidad es notable.