HackTool.Python.Impacket.NTF

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ワーム活動の機能を備えていません。

プログラムは、バックドア活動の機能を備えていません。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

プログラムは、ワーム活動の機能を備えていません。

バックドア活動

プログラムは、バックドア活動の機能を備えていません。

ルートキット機能

プログラムは、ルートキット機能を備えていません。

その他

プログラムは、以下を実行します。

• Operates as an offensive utility within the open-source Impacket framework, providing low-level raw NTFS disk parsing and file extraction without relying on standard Windows file system APIs.
• Opens the raw volume handle directly (such as \.\C: on Windows or /dev/sd* on Linux), bypassing standard OS kernel file access APIs.
• Parses the BIOS Parameter Block (BPB) and NTFS Boot Sector to extract sector size, cluster size, and the Master File Table ($MFT) cluster offset.
• Traverses and decodes $MFT records, standard information attributes ($STANDARD_INFORMATION), file name attributes ($FILE_NAME), and data runs ($DATA).
• Provides an interactive mini-shell allowing operators to browse directory trees and inspect files directly on locked volumes using the following built-in commands:
  • cat → prints volume file contents directly as text.
  • cd → changes the current directory on the target NTFS volume.
  • hexdump → prints a formatted hexadecimal dump of the target file contents.
  • lcd → changes the working directory of the local operator process.
  • ls → lists directory contents, file attributes, and sizes on the volume.
  • pwd → prints the current directory path on the NTFS volume.
  • shell → executes arbitrary local operator commands.
• Extracts requested locked files directly from raw cluster allocations to local storage (replacing existing local files of the same name) for offline credential extraction and forensic tampering.

マルウェアは、以下のパラメータを受け取ります。

• -debug → used to enable diagnostic debug logging output.
• -extract {Path} → used to extract a specific target file path from the raw NTFS volume (e.g., \windows\system32\config\sam).
• volume → positional argument specifying the raw NTFS volume device to open (e.g., \.\C: or /dev/disk1s1).

マルウェアは、脆弱性を利用した感染活動を行いません。