Wednesday, January 30, 2019

RegRipper

I recently tweeted that, as far as I'm aware, Nuix's Workstation/Investigator product is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 only commercial product that incorporates RegRipper, or RegRipper-like functionality.

Brian responded to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 tweet that both OSForensics and OpenText include cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 capability as well. The OSForensics page states that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 guide was written using RegRipper version 2.02, from May, 2011, making it really quite old. For OpenText, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 page states that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 EnScript for launching RegRipper had been downloaded 4955 times, but is no longer supported.  Also, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 reference to RegRipper, at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 old Wordpress site, tells us that it's pretty dated.

As such, that leaves us right were we started...Nuix Workstation is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 only commercial product that incorporates cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 use of RegRipper, or some similar functionality.  Here's cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact sheet that talks about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 extension, and here's where you can get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 extension itself, for free.  Finally, here's a Nuix blog post that describes not only cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 RegRipper extension, but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Yara extension (also free), as well.

Okay, full disclosure time...while I was employed at Nuix, I helped direct cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 creation of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 RegRipper extension, as well as updating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Yara extension.  I didn't do cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 programming...that was something provided by Daniel Berry's team.  The "two Jasons" did a fantastic job of taking my guidance and turning it into reality.  Shoutz and mad props to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Juicy Dragon and his partner in crime, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir boss (Dan).

The RegRipper extension looks at each Windows evidence item, and "knows" where to go to get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Registry hives.  This includes knowing, based on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 version of Windows, where cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 NTUSER.DAT and USRCLASS.DAT files are located. It will also get cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 AmCache.hve file (if it's in that version of Windows), cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 NTUSER.DAT hives in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Service Profiles subfolders, as well as cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Default hive file within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system32\config folder.  Automatically.

And it will run cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 appropriate RegRipper profiles against cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hives. Automatically.

And it will incorporate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 output from RegRipper, based on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 evidence item and file parsed, right back into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Nuix case as a separate evidence item.  Automatically.

Let's say you have multiple images of Windows systems, all different versions.  Run cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 RegRipper extension against cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 case, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n run your keyword searches.  This can be extremely critical, as cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re is data within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Registry that is ROT-13 encoded, as well as ASCII strings that are encoded as hexadecimal character streams that various RegRipper plugins will decode, making cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data available to be included in your searches.

The Yara extension is equally as powerful.  You select cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 path you want scanned, whecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r you want descendants (yes, please!) and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 rule file(s) you want included, and let it go.  All of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 findings are included as tagged items directly back into your case.

Want to give it a shot?  Go here, and download cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 image from challenge #1, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web server case.  Add cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 image file as an evidence item to a Nuix case, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n run cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 RegRipper extension.  Then, use cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Yara extension to run Yara rule files that look for web shells across cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web server folder and all descendants.  In this case, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 web server folder is not C:\inetpub.

RegRipper was released almost 11 yrs ago. I've been told time and time again that a lot of people "use" it.  I have no stats, nor any real insight into this, but what it means to me is that a lot of people download it, and run it "as is" without getting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 full benefit from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 tool.

I guess I'm really amazed that in all this time, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re hasn't been a concerted effort to incorporate RegRipper, or a RegRipper-like capability, directly into a commercial tool.

6 comments:

Darksider9 said...

Harlan,

Anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r great post and thank you for bringing this to light to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 community at large. I know a vast number of people that use RegRipper as a staple to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir investigations, but as you pointed out "as is". I have found it much more useful to run cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 particular plugin I need for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data that I am looking for in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 moment, not terribly difficult and I get what I need.

I have employed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "shotgun" approach, if you will, when I haven't found anything fruitful and I am more grasping at straws. It have been successful and failed in equal parts, so I don't really find it all that useful of a tactic.

I think if more people requested cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 feature for RegRipper be included in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir particular toolset you would see it gain more traction, but I would be remiss to think people are so used to using it as a stand alone tool , having it incorporated wouldn't increase cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 efficiency of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir workflow. I definitely can see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 value and thank you for incorporating it at NUIX, now lets hope cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y keep up with it.

Again, anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r great post and enlightening to boot!

Darksider9

David said...

There is also Volatility-workbench,
https://www.osforensics.com/tools/volatility-workbench.html
Updated in 2018 and is Open source. So not really commercial.

In my opinion, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 licensing issue is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 main factor stopping wider use. If wider use is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 goal this is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first thing to change. Maybe cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 MIT License would be better?

That and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact that,

A) It is really slow to execute, even on fast hardware. It really needs a rewrite to use threading and ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r modern techniques. I suspect we could get 10x cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 performance with a rewrite. We are happy to help with this if you want.

B) It is complex and nearly impossible to use without extensive training. Even once you get some output, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 significant of that output is well beyond cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 comprehension of most people.

C) It is often out of date, or you think it is, as guessing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 right profile is really painful. We tried to improve this with .CFG files to store cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 profile and KDBG with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 memory image.

D) If is somewhat difficult to get working memory images (especially on Mac). We put up some public samples on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 link above. Feel free to distribute cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m.

David
PassMark Software

Unknown said...

> Go here, and download cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 image from challenge #1

I am interested, where exactly please ?

H. Carvey said...

Jean-Christophe,

Link fixed, thanks.

H. Carvey said...

David,

> There is also Volatility-workbench,

Okay, but I'm not seeing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 connection.

I'm not seeing what your comments regarding Volatility have to do with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 post. Can you clarify that a bit?

Thanks.

H. Carvey said...

Darksider9,

> I think if more people requested cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 feature...

I'm with you, I think that's cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 case.

While no users specifically requested that RegRipper be incorporated into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Nuix Workstation product, we saw cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 value of doing so, and tried to do so in an as-comprehensive manner as possible. I honestly believe that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 end result, along with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 inclusion of Yara, has significant value to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 users.

Thanks.