• Email
• Facebook
• Twitter
• Google+
• Linkedin

HackTool.Python.Impacket.NTF

---

• マルウェアタイプ: ハッキングツール
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ワーム活動の機能を備えていません。

プログラムは、バックドア活動の機能を備えていません。

---

  詳細

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

プログラムは、ワーム活動の機能を備えていません。

バックドア活動

プログラムは、バックドア活動の機能を備えていません。

ルートキット機能

プログラムは、ルートキット機能を備えていません。

その他

プログラムは、以下を実行します。

• Operates as an offensive utility within the open-source Impacket framework, providing low-level raw NTFS disk parsing and file extraction without relying on standard Windows file system APIs.
• Opens the raw volume handle directly (such as \.\C: on Windows or /dev/sd* on Linux), bypassing standard OS kernel file access APIs.
• Parses the BIOS Parameter Block (BPB) and NTFS Boot Sector to extract sector size, cluster size, and the Master File Table ($MFT) cluster offset.
• Traverses and decodes $MFT records, standard information attributes ($STANDARD_INFORMATION), file name attributes ($FILE_NAME), and data runs ($DATA).
• Provides an interactive mini-shell allowing operators to browse directory trees and inspect files directly on locked volumes using the following built-in commands:
  • cat → prints volume file contents directly as text.
  • cd → changes the current directory on the target NTFS volume.
  • hexdump → prints a formatted hexadecimal dump of the target file contents.
  • lcd → changes the working directory of the local operator process.
  • ls → lists directory contents, file attributes, and sizes on the volume.
  • pwd → prints the current directory path on the NTFS volume.
  • shell → executes arbitrary local operator commands.
• Extracts requested locked files directly from raw cluster allocations to local storage (replacing existing local files of the same name) for offline credential extraction and forensic tampering.

マルウェアは、以下のパラメータを受け取ります。

• -debug → used to enable diagnostic debug logging output.
• -extract {Path} → used to extract a specific target file path from the raw NTFS volume (e.g., \windows\system32\config\sam).
• volume → positional argument specifying the raw NTFS volume device to open (e.g., \.\C: or /dev/disk1s1).

マルウェアは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください