Malware Analysis - Setting Up Environment

FLARE VM is the first of its kind reverse engineering and malware analysis distribution on Windows platform. It covering everything you need to know to get started in Malware Analysis professionally. Since its introduction in July 2017, FLARE VM has been continuously trusted and used by many reverse engineers, malware analysts, and security researchers as their go-to environment for analyzing malware. Just like the ever-evolving security industry, FLARE VM has gone through many major changes to better support our users’ needs. FLARE VM now has a new installation, upgrade, and uninstallation process, which is a long anticipated feature requested by our users. FLARE VM also includes many new tools such as IDA 7.0, radare and YARA. Therefore, we would like to share these updates, especially the new installation process.

Let set it up
FLARE VM is designed to be installed on Windows 7 Service Pack 1 or newer; therefore, you can select a version of windows that best suits your needs. From this point forward, all installation steps should be performed within your VM. You can download from: https://developer.microsoft.com/en-us/microsoft-edge/tools/vms
When you have a Windows VM, download the compressed FLARE VM repository onto your VM: https://github.com/fireeye/flare-vm

Now, start Windows PowerShell as admin permissions "Run as administrator"

Then, go to Flare-vm path, e.g: cd C:\Users\IEUser\Downloads\flare-vm-master
Enable unrestricted execution policy for PowerShell by executing the following command: Set-ExecutionPolicy unrestricted
Start installing: .\install.ps1

The rest of the installation process is fully automated. Depending upon your internet speed the entire installation may take up to one hour to finish. The VM also reboots multiple times due to the numerous software installations’ requirements. Once the installation completes, the PowerShell prompt remains open waiting for you to hit any key before exiting. After completing the installation, you will be presented with the following desktop environment:

Congratulations! You have successfully installed FLARE VM.

Here is an incomplete list of some major tools available on FLARE VM:
Disassemblers:
IDA Free 5.0 and IDA Free 7.0
Binary Ninja
Radare2 and Cutter
Debuggers:
OllyDbg and OllyDbg2
x64dbg
Windbg
File Format parser:
CFF Explorer, PEView, PEStudio
PdfStreamdumper, pdf-parser, pdfid
ffdec
offvis and officemalscanner
PE-bear
Decompilers:
RetDec
Jd-gui and bytecode-viewer
dnSpy
IDR
VBDecompiler
Py2ExeDecompiler
Monitoring tools:
SysInternal suite
RegShot
Utilities:
Hex Editors (010 editor, HxD and File Insight)
FLOSS (FireEye Labs Obfuscated String Solver)
Fakenet-NG
Yara
Malware Analyst Pack

We strongly recommend you use FLARE VM within a virtualized environment for malware analysis to protect and isolate your physical device and network from malicious activities. We assume you already have experience setting up and configuring your own virtualized environment. Happy Reversing!

Thanks Fireeye

Read More

How to make read-only partition to writable? - Fix lỗi phân vùng không ghi được | Lấy quyền ghi đặt lại tệp nhật ký NTFS

The issue is sometimes the partition lost writable permissions and that means many processes, many things we do will take error but sometimes it writable normally.
So why? After solutions suggested by different people failed to fix the issue, I went to research and found out that because there was some problem with my hard drive that was caused dual with Windows.
So we can fix it with ntfsfix, fix common errors and force Windows to check NTFS
Ntfsfix is a utility that fixes some common NTFS problems.  ntfsfix is NOT a Linux version of chkdsk.  It only repairs some fundamental NTFS inconsistencies, resets the NTFS journal file and schedules an NTFS consistency check for the first boot into Windows. You may run ntfsfix on an NTFS volume if you think it was damaged by Windows or some other way and it cannot be mounted.

sudo ntfsfix <your partition>
e.g: sudo ntfsfix /dev/sdb1
You can use blkid to show all your partition

If still not work, try remounting it read-write:
sudo mount -o remount,rw <your mounted partition path>
e.g: sudo mount -o remount,rw /media/root/DATA/

Thanks

Read More

How to change MAC Address in Windows - Technitium MAC Address Changer

Easy to change MAC Address

Technitium MAC Address Changer allows you to change (spoof) Media Access Control (MAC) Address of your Network Interface Card (NIC) instantly. It has a very simple user interface and provides ample information regarding each NIC in the machine. Every NIC has a MAC address hard coded in its circuit by the manufacturer. This hard coded MAC address is used by windows drivers to access Ethernet Network (LAN). This tool can set a new MAC address to your NIC, bypassing the original hard coded MAC address. Technitium MAC Address Changer is a must tool in every security professionals tool box.

Features

• Works on Windows 10, 8 & 7 for both 32-bit and 64-bit.
• Enhanced network configuration presets with IPv6 support allow you to quickly switch between network configurations.
• Allows complete configuration of any network adapter.
• Command line options with entire software functionality available. You can select a preset from specified preset file to apply directly.
• Update network card vendors list feature allows you to download latest vendor data (OUI) from IEEE.org.

Technitium MAC Address Changer hỗ trợ bạn trong việc thay đổi địa chỉ MAC trong mạng Internet dễ dàng thay vì phải mất nhiều thời gian hơn so với cách thông thường.

Technitium MAC Address Changer hỗ trợ người sử dụng Internet thay đổi thông tin của địa chỉ MAC trong mạng Internet chỉ bằng vài thao tác đơn giản và không cầu kì mất nhiều thời gian như một vài sản phẩm có cùng tính năng khác.

Tính năng chính của Technitium MAC Address Changer:

• Hỗ trợ chuyển đổi địa chỉ MAC nhanh chóng và đơn giản.
• Hoàn toàn tương thích với các loại Card mạng.
• Hỗ trợ đổi địa chỉ MAC của Ipv4 và Ip v6.
• Sao lưu, khôi phục địa chỉ MAC cũ.
• Tự động thiết lập cấu hình phù hợp.
• Hoàn toàn tương thích với hệ điều hành Windows kể cả phiên bản 64 bit.

How To Change MAC Address

• Starting MAC address changer will list all available network adapters.
• Select the adapter you want to change the MAC address. You will get the details of your selection below.
• In the Information tab, find the Change MAC Address frame. Enter new MAC address in the field and click Change Now! button. You may even click Random MAC Address button to fill up a randomly selected MAC address from the vendor list available.
• To restore the original MAC address of the network adapter, select the adapter, click Restore Original button in the Change MAC Address frame.

NOTE: This tool cannot change MAC address of Microsoft Network Bridge. Network Bridge will automatically use the original MAC address of the first NIC added into bridge with the first octet of MAC address set to 0x02.

Download

Enjoy.

Read More

How to read and write in system partition - Mount EFI partition | Cách truy cập và chỉnh sửa các file trong phân vùng EFI

Cannot Access an EFI System Partition Windows 10?
Phân vùng EFI(ESP) là phân vùng chứa menu boot của máy tính sử dụng chuẩn UEFI. Nhiều người thắc mắc phân vùng này là gì, sao lại có dung lượng nhỏ và có xóa đi được không?

Đây là phân vùng cực kỳ quan trọng của hệ điều hành, nếu phân vùng này bị lỗi bạn sẽ không thể khởi động máy tính, hoặc có thể chỉ khởi động được 1 hệ điều hành khi bạn cài song song hay là lỗi Operating System Not Found...
Phân vùng này được định dạng là FAT32, thường có dung lượng dưới 500MB và được ẩn

Ở bài này mình sẽ hướng dẫn các bạn mount phân vùng EFI cũng như là các phân vùng hệ thống khác để xem và chỉnh sửa thông tin các file bên trong phân vùng. Nhiều khi gặp lỗi không khởi động được windows hay mất grub2 không boot được vào linux thì ta cần check đường dẫn file EFI trong phân vùng này.

Cách 1: Khi các bạn truy cập vào thư mục ẩn thuộc phân vùng EFI, các bạn sẽ nhận được thông báo "You don't currently have permission to access this folder." 
Các bạn chọn Continue > Thông báo "You have been denied permission to access this folder."  Chọn security tab. 
Sau đó, ở dòng thứ hai, phần Owner: ..., anh em chọn Change, rồi copy phần From this location, paste vào ô Enter the object name to select phía dưới, xong OK.
Nếu cách này không được thì các bạn làm theo cách 2 phía dưới.

Cách 2: How to read and write in efi partition?
Mount EFI partition: các bạn mở cmd và run as administrator bằng cách nhấm phím kép Windows + S và tìm kiếm "conhost" sau đó nhấn enter. Trong cửa sổ nhập lệnh ta nhập "diskpart".

Trong diskpart ta nhập list disk để show tất cả các ổ cứng có trong máy, sau đó ta chọn ổ cứng bằng lệnh select <diskname>
Để thấy được các phân vùng có trong máy ta có thể nhập lênh list partition hoặc list volume. Ở ví dụ trong ảnh dưới đây: phân vùng EFI là partition 1 và cũng là volume 9, ta để ý có ghi system. Vậy nên để chọn phân vùng này ta có thể sử dụng lệnh "select partition 1" hoặc "select volume 9" đều được.
Sau đó ta tiến hành mount với lệnh "assign letter=K", ở đây K là kí tự không trùng với các phân vùng đã có như D hay E.

Phân vùng K đã xuất hiện nhưng bạn vẫn chưa có quyền truy cập vào phân vùng system này. Khi các bạn click vào sẽ có thông báo như sau: You don't currently have permission to access this folder.

Click continue sẽ có thông báo không có quyền được truy cập: You have been denied permission to access this folder.

Với thông báo này các bạn tải explorer++ về và mở file explorer++.exe với quyền quản trị: click chuột phải, chọn Run as Administrator. Trong cửa sổ explorer++ các bạn có thể truy cập và chỉnh sửa thỏa mái các file trong phân vùng rồi nhé. Dựa vào đó ta có thể xem link đường dẫn của file efi để chỉnh sửa menuboot với Bootice như trong cách 2 của bài viết này

Ngoài chỉnh sửa menu boot bằng Bootice ta có thể dùng công cụ EasyUEFI: ảnh bởi Anhdv

Để unmount phân vùng ta mở diskpart và làm các bước như trên nhưng thay lệnh "assign letter=K" bằng "remove letter=K".

Chúc các bạn thành công!

Read More

How to activate Windows 10 pro | Kích hoạt Windows 10

Key active win 10 pro activate online mới nhất 2018 cho những anh em nào đang tìm kiếm. Với sự phát triển không ngừng của mạng internet, công nghệ thông tin thì việc tạo ra các win mới để đáp ứng nhu cầu của khách hàng là điều không thể thiếu và mới nhất chính là win 10. Win 10 đã update rất nhiều lần và bản mới đây là phiên bản 1803. key chính là thứ quan trọng giúp các anh em cài và sử dụng win miễn phí. Hôm nọ mình có lượm được một cái key pro vẫn sự dụng được ổn đinh và active online luôn, tiện đó mình share luôn cho anh em.

Nếu key không active được cho bản Pro 1803 thì anh em báo lại cho mình bằng cách comment phía dưới nhé.

Updated: Key dead!

Cách activate mình dùng (99%) cho mọi phiên bản windows 10: Copy đoạn code này vào một file.txt sau đó lưu lại thành file.cmd. Tiếp theo click chuột phải vào file vừa tạo và chọn Run as administrator.
Trong đó có các link server kms, ta có thể thay thế nó bằng server kms khác nếu nó không còn hoạt động. Good luck!

Read More

Sửa lỗi màn hình xanh Windows 10 thường mắc phải

Sửa Lỗi Winload, BCD, Recovery, INACCESIBLE BOOT DEVICE

Lỗi màn hình xanh trên windows 10 là lỗi biến hiện nay, Nguyên nhân có thể là do lỗi hay mất các file Winload.efi, Winload.exe, Recovery,... 

Your PC/Device needs to be repaired rồi là các error code: 0xc000000f, 0xc0000225, 0xc000000e, 0xc0000001,...

Dưới đây là một số cách sửa lỗi mà mình cũng đã từ bị và sửa thành công. Nếu không thành công thì cài lại Windows thôi :<

Cách 1. Repair win, Troubleshoot > Advanced Options

Tiếp theo chọn Startup Repair.

Hoặc vào Advanced Startup từ USB hoặc DVD cài đặt Windows 10:
Tạo một USB cài Win 10 sau đó boot từ USB. Chọn múi giờ, bàn phím bla bla

Nhấn vào mục Repair your computer

Cách 2. Khi gặp lỗi khởi động, windows sẽ tự sửa và hiện ra bảng Advanced Options

Chọn Troubleshoot > Advanced Options > Command Prompt

Nếu không được các bạn có thể khởi động WinPE trong USB cứu hộ sau đó truy cập đường dẫn C:\windows\system32\config

Tạo một folder với tên bất kì, copy tất cả file từ thư mục config vào thư mục vừa tạo.

Truy cập thư mục config > Regback sau đó copy 4 file này.

trở ra thư mục config rồi paste đè (replacce).

Done. thử restart xem lỗi đã được sửa chưa


Cách 3. dùng Macrium Reflect để sửa lỗi Recovery, Winload, BCD. Công cụ này được tích hợp trong WinPE.
Trong giao diện Macrium Reflect ta chon Tab Restore > Fix Windows boot problems.

Sau đó bạn chọn phiên bản windows cần fix rồi Next > Finish.
Restart máy để xem lỗi có được sửa không nhé, nếu không thì máy bạn bị lỗi đặc biệt, lỗi nặng.
Hay thử cách 4 xem sao :/



Cách 4. Công cụ Bootice. Bạn mở WinPE bằng USB cứu hộ, sau đó click chuột phải chọn System > Mount Hidden Partitions.
Phân vùng khởi động của bạn đã được phát hiện, ví dụ E:

Sau đó chạy phần mềm BootIce. Chọn Tab BCD, chọn ô Other BCD file.
Tìm và chọn file BCD theo đường dẫn E:\EFI\Microsoft\Boot\BCD
Với hệ thống Windows legacy thì là E:\Boot\BCD

Tiếp theo, chọn Professional mode
Bên trái chọn Windows Boot Manager, sau đó bạn check xem Application Device đã là ổ khởi động chưa (E:)
Application Path: có đường dẫn \EFI\Microsoft\Boot\bootmgfw.efi (nếu là hệ thống Legacy thì thay bootmgfw.efi thành bootmgfw.exe

Tiếp theo bên tay trái bạn chọn Windows 10, nếu Application Device và OSDevice không được thiết lập (UnknownDevice), nhấp vào đó và dẫn đến ổ C: của bạn
Nếu là hệ thống Windows Legacy thì file winload.efi thay bằng [ot-video][/ot-video]

Ok, lỗi màn hình xanh Recovery đã được sửa.

Read More

Chống bị xâm nhập máy tính từ xa

- Nhằm để không ai xâm nhập máy tính từ xa thì người dùng nên thiết lập bảo mật ngăn quyền kiểm soát này bằng cách: 

Vào Control Panel > chọn biểu tượng System > nhấn thẻ Remote > bên dưới mục Remote Assistance chọn Advanced > ngay lập tức hộp thoại Remote Assistance Settings hiên ra thì bạn hủy dấu kiểm Allow This Computer To Be Controlled Remotely và nhấn nút OK

Tiếp theo hủy luôn dấu kiểm ở ô có hàng chữ Allow Remote Assistance invitations to be sent from this computer rồi nhấn nút OK . Kế tiếp, vào menu Start [Search] > Run gõ services.msc và nhấn Enter. Ngay lập tức xuất hiện hộp thoại Services, nhấn vào cột Status để tìm các mục dịch vụ sau đây để tắt chúng:

Remote Registry Service: Dịch vụ này cho phép Registry trên máy tính có thể được thay đổi từ một máy khác được nối mạng. Chúng ta hãy tắt dịch vụ này để máy tính được an toàn hơn.

Telenet: Dịch vụ cho phép người dùng trên máy khác đăng nhập vào máy chúng ta và chạy các chương trình. Chúng ta có thể tắt dịch vụ này.

Clipbook: Dịch vụ này sẽ bật Clipbook Viewer để lưu trữ thông tin của Clipboard nhằm mục đich chia sẻ với các máy tính từ xa trên mạng. Chúng ta có thể tắt dịch vụ này mà không ảnh hưởng đến hệ thống.

Fast User Switching Compatibility: Nếu chỉ có mình chúng ta sử dụng máy tính [chỉ một User đăng nhập] thì tắt dịch vụ này để nâng cao hiệu năng hệ thống.

Messenger: Dịch vụ truyền thông điệp giữa các máy trong mạng. Chúng ta có thể tắt mà không ảnh hưởng gì đến hệ thống.

Computer Browser: Dịch vụ này hỗ trợ liệt kê các máy tính trong mạng [thường liệt kê các máy tính trong mạng LAN]. Chúng ta có thể tắt dịch vụ này mà không ảnh hưởng gì đến hệ thống. 

Lưu ý: Để vô hiệu hóa dịch vụ, nhấp trỏ phải chuột vào dịch vụ đó > chọn Properties. Ngay lập tức xuất hiện hộp thoại thông tin về dịch vụ > tìm đến mục Startup type và chúng ta thiết lập là Disabled để vô hiệu hóa dịch vụ trong lần khởi động kế tiếp. Trong trường hợp dịch vụ đang thực thi mà chúng ta muốn tắt dịch vụ ngay lập tức thì nhấn nút Stop sau đó thiết lập là Disabled rồi khởi động máy lại để thiết lập có hiệu lực. Như vậy cho dù đối tượng dùngTromessenger, TeamViewer, Ycrackey cũng chẳng ai có thể xâm nhập điều khiển từ xa trên máy của bạn! Ngoài ra, nên luôn kiểm tra coi máy có các chương trình lạ nào mà nó ghi lại mọi thao tác trên bàn phím thì bạn kiểm tra bằng cách sử dụng công cụ Task Manager [nhấn tổ hợp phím Ctrl+Alt+Del] xem các chương trình đang chạy. Nếu thấy process nào lạ [đặc biệt đối với Windows XP là các tập tin được chạy dưới User name không phải là System] chưa thấy bao giờ hãy tắt [end, kill] nó đi. Lưu ý, cách này có thể làm treo hệ thống nếu đó là một tập tin cần cho nó; vì vậy người dùng cần có kinh nghiệm. Như chúng ta đã biết cũng có nhiều loại keylogger, Trojan,Troya có thể ẩn trong Task Manager nên khó có thể phát hiện ra nó.

Vì vậy, chúng ta nên dùng Process Explorer https://technet.microsoft.com/en-us/sysinternals/bb896653 thay cho Task Manager.

Đồng thời phối hợp dùng cùng với Asterist http://asterisk-logger.en.softonic.com/download http://www.nirsoft.net/utils/astlog.html là chương trình có khả năng phát hiện có bao nhiêu con Trojan trong máy tính và đồng thời nó sẽ lấy Password của các con Trojan cũng như biết được nguồn gốc thông tin của con Trojan.

Trường hợp để loại bỏ khả năng tái hoạt động của Keyloger thì chúng ta nên phối hợp dùng Autoruns for Windows 
http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx 

Hoặc dùng XoftSpy SE 
http://www.xoftspy.com 

Hoặc dùng Anti-Keylogger
http://www.anti-keyloggers.com

Mặt khác, bạn cũng nên thiết lập Password Aministrator và thiết lập chống truy xuất dữ liệu ổ cứng. Thì như vậy máy tính của bạn sẽ tương đối an toàn bảo mật phần nào! 

Nguồn: Internet

Read More