PersistenceSniper

Persistencesniper

PersistencesNiper ist ein PowerShell -Modul, das von Blue -Teams, Incident -Hemal- und Systemadministratoren verwendet werden kann, um Persistenzen zu jagen, die in Windows -Maschinen implantiert sind. Es ist auch in der PowerShell Gallery erhältlich und digital mit einem gültigen Code -Signierzertifikat signiert. Das Tool befindet sich unter aktiver Entwicklung und nutzen Sie die aktuelle Version. Offizielles Twitter/X -Konto @PersissisNiper.

Das Warum

Warum so ein Tool schreiben, könnten Sie fragen. Nun, für den Anfang habe ich versucht, mich umzusehen und fand kein Tool, das zu meinem speziellen Anwendungsfall passte, das nach bekannten Persistenztechniken automatisch über mehrere Maschinen hinweg suchte und die Ergebnisse schnell und einfach analysieren und vergleichen konnte. Sicher, die Autoruns von Sysinternals sind ein erstaunliches Werkzeug und es lohnt sich definitiv, es zu verwenden, aber da die Ausgaben in nicht standardmäßigen Formaten führen und nicht remote ausgeführt werden können, es sei denn, Sie machen einige Spielereien mit dem Befehlszeilenäquivalent. Ich fand es nicht gut zu mir. Außerdem wurden einige der Techniken, die ich bisher in PersistencesNiper implementiert habe, noch nicht in Autoruns implementiert, soweit ich weiß. Wie auch immer, wenn das, was Sie brauchen

Das Wie

Um zu lernen, wie man PersistencesNiper ordnungsgemäß benutzt, besuchen Sie das Wiki des Projekts.

TL; Dr, wenn Sie zu faul sind, um das Wiki zu lesen (was ich Ihnen nur empfehle), können Sie mit den folgenden drei Befehlen installieren, importieren und feuern.

PS > Install-Module PersistenceSniper
PS > Import-Module PersistenceSniper
PS > Find-AllPersistence 

Bisher implementierte Persistenztechniken

Die bisher implementierten Persistenztechniken sind auf der Erkennungsseite des Wiki von PersistencesNiper detailliert.

Credits

Der größte Teil dieses Tools basiert auf der Arbeit anderer qualifizierter Forscher. Daher ist es das Recht, Kredit zu geben, wo Kredit fällig ist. Dieses Projekt wäre nicht da, wenn es nicht wäre:

• HexaCorn und sein nie endgültiges Ende der guten alten Run-Key-Serie;
• Grzegorz Tarrek und seine erstaunliche Persistenz-info.github.io-Website;
• Alle anderen Forscher, die coole und unbekannte Persistenztechniken offenbarten.

Darüber hinaus haben diese Personen zum Projekt beigetragen:

• Riccardo Ancarani
• Cecio
• Vadim
• fkadibs
• Suinswofi
• Antonio Blescia
• Strassi
• sechzigvividtails

Ich möchte meinen Kollegen bei @aptortellini auch Credits für die Flut von Ideen geben, die es dazu beitragen, von einem mickrigen textorientierten Skript zu einem vollwertigen PowerShell-Modul zu wachsen.

Lizenz

Dieses Projekt steht unter der Commons -Klauselversion der MIT -Lizenzlizenz. TL; DR: Sie können die Arbeit aus irgendeinem Grund kopieren, ändern, verteilen und ausführen, ohne kommerzielle Zwecke, ohne Erlaubnis zu bitten.