投稿FCNS_RARはEntropy値を活用してRARファイルをカービングするEnScriptです。使い方Caseを作成もしくはオープン後、調査対象を追加してから実行します。メニュー/オプションの内容は以下の通りです。5777967fcd61bdaf30141e702478131ffd591038)ライセンス個人、商用を問わず自由に利用することができますが、本ツールの利用により生じた問題については責任を負いかねます。EnPack形式で公開していますがEnScript形式をご希望の方はお問合せください。企業等のネットワークに不正侵入した攻撃者は、持ち出すために集めたファイルをRAR形式で圧縮してC&Cサーバに転送し、転送後に削除するという方法を取ることがあります。通常のRARは目印となるヘッダ(\x52\x61\x72\x21\x1A\x07\x00)やフッタ(\xC4\x3E\x7B\x00\x40\x07\x00)がありますが、パスワードを設定して暗号化された場合にはフッタがこのパターンになりません。パスワードを設定することにより圧縮対象のファイル名を含め暗号化することができるため、パスワードを設定してRARが作成されている事例が多くあります。Carverはユーザがファイルサイズを設定して、ヘッダパターンに一致した位置から設定したファイルサイズ分をファイルとして取り出します。この動作ではサイズの設定値を小さくすると必要なデータが含まれず、大きくするとノイズが多数含まれる傾向にあります。特徴FCNS_RARはパスワード設定されたRARの終端を判断するために、エントロピー値を活用します。はじめにカービング対象を以下のヘッダパターンで検索します。\x52\x61\x72\x21\x1A\x07ヘッダパターンに一致した位置から512バイト分のエントロピー値を計算します。エントロピーはランダムな度合いを示す指標であり、データが圧縮/暗号化されていればエントロピーは高くなる傾向にあります。Level以上であれば暗号化データが続いていると判断します。Levelに満たなかった場合にはその範囲内でデータが終わっていると見なし、カービングの終端位置とします。Levelのデフォルト値は7.35としています。Fileに指定したファイルにはカービングしたRARファイルのパース結果を記録します。FirstEntropyはヘッダパターンを含む512バイトのエントロピー値、LastEntropyは終端とみなした512バイトのエントロピー値です。analysis等を実行することにより、暗号化されたRARや復元可能なファイルを素早く確認することができます。