Antispy – Un kit de herramientas gratuito y potente para virus y rootkits

13 diciembre, 2019

AntiSpy es un kit de herramientas gratuito pero potente para virus y rootkits.

Te ofrece la capacidad con los más altos privilegios que pueden detectar, analizar y restaurar varias modificaciones y enlaces de kernel.

Con esta herramienta, puedes detectar y neutralizar fácilmente malwares ocultos de los detectores normales.

Desarrollo

IDE: Visual Studio 2008
Espacio de usuario: MFC
WDK: WDK7600
Biblioteca de terceros: Codejock toolkit pro

Estructura del código

AntiSpy_Root_Dir
├── LICENSE                        
├── README.md    
├── doc                             (AntiSpy introduction files)
│   ├── Readme.txt 
│   └── 说明.txt
├── icon
│   └── icon.ico
├── src                               
│   ├── Antispy                     (AntiSpy main project)
│   │   ├── Common                  (The common structs&defines,used by userspace&kernel)
│   │   ├── SpyHunter               (Userspace project,written in MFC)
│   │   ├── SpyHunter.sln           (VS2008 solution file)
│   │   └── SpyHunterDrv            (Kernel project)
│   └── Res   ourceEncrypt             (Encryption tool project)
│       ├── ResourceEncrypt         (Encrypt driver and other resources)
│       ├── ResourceEncrypt.sln     (VS2008 solution file)
│       └── clear.bat
└── tools
    ├── ResourceEncrypt.exe        
    └── TestTools.exe               (Used to test the functionality of Antispy)

Características

Actualmente, las siguientes características están disponibles (incluidas, entre otras):

Administrador de procesos

Puedes:

Visualizar el proceso del sistema y la información básica del hilo.
Detectar procesos ocultos, hilos, módulos de proceso.
Terminar, suspender y reanudar procesos e hilos.
Ver y manipular manejadores de procesos, ventanas y regiones de memoria.
Ver y manipular teclas de acceso rápido de proceso, privilegios y temporizadores.
Inyectar dll, recuperar la memoria del proceso.
Crear volcado de depuración, incluye mini volcado y volcado completo.

Visor de módulo de kernel

Muestra información básica del módulo del kernel, incluido basado en imagen, tamaño, objeto de controlador, etc.
Detectar módulos ocultos del kernel.
Descargar módulos del kernel.
Volcado de memoria de imagen del kernel.
Mostrar y eliminar información del servicio del controlador del sistema.

Detector de hook (ganchos)

Detecta y restaura SSDT, Shadow SSDT, sysenter y ganchos int2e.
Restaura y detecta FSD y ganchos de desconexión de teclado.
Detecta y restaura los ganchos del código del kernel, incluidos los ganchos en línea del kernel, parches, iat y ganchos eat.
Restaura y detecta enlaces de mensajes, tanto globales como locales.
Detectar y restaurar ganchos de ObjectType del kernel.
Mostrar tabla de descriptores de interrupción (IDT).

Otro visor de información del kernel

Ver y eliminar notificaciones del kernel.
Los filtros de visualización para dispositivos comunes incluyen disco, volumen, teclado y dispositivos de red.
Ver temporizadores IO, temporizadores DPC, subprocesos del sistema, etc.

Administrador de registro

Ver y editar el registro del sistema.
Detectar entradas de registro ocultas usando el análisis de registro en vivo.

Administrador de archivos

Muestra la información básica del archivo, incluye el nombre del archivo, el tamaño, los atributos, etc.
Detectar archivos ocultos.
Ver y eliminar archivos y carpetas bloqueados.

Administrador de Servicio

Sistema de visualización de información básica de servicios.
Control de estado de los servicios.
Modificar el tipo de inicio de servicios.

Administrador de ejecución automática

Muestra casi todo tipo de ejecución automática del sistema.
Habilita, deshabilita o elimina permanentemente las ejecuciones automáticas.

Visor de red

Muestra las conexiones de red actuales, incluye información TCP y UDP.
Ver y eliminar complementos de IE y menú contextual.
Mostrar proveedores de winsock (LSP).
Ver y editar el archivo de hosts.

Otras herramientas

Editor hexadecimal: puedes observar y editar memoria, incluyendo memoria de proceso ring3 y memoria de sistema ring0.
Desensamblador – Al igual que OllyDBG, admite memoria de proceso ring3 y memoria de sistema ring0.