سأستمر في إضافة أي كود جديد أو تعديل الكود الموجود بناءً على البحث عن البيانات المسروقة

إذا تم اختراقك، فإن هذه النصوص البرمجية لن تصلح الأمر لك بالتأكيد! هذه لا تقدم لك أي فائدة سوى معرفة مدى ما حدث لنظامك الآن

مع ذلك، سأستمر في إضافة نصوص برمجية هنا نستخدمها في بحثنا حول البيانات التي قد تكون سُرقت من النظام.

روابط مفيدة

1. https://www.bleepingcomputer.com/news/security/microsofts-msert-tool-now-finds-web-shells-from-exchange-server-attacks/
2. https://krebsonsecurity.com/2021/03/at-least-30000-u-s-organizations-newly-hacked-via-holes-in-microsofts-email-software/
3. https://www.huntress.com/blog/rapid-response-mass-exploitation-of-on-prem-exchange-servers
4. https://proxylogon.com/

CVE-2021-27065

نصوص باورشيل سريعة مكونة من سطر واحد للكشف عن شيلات الويب، وملفات zip المحتملة، والسجلات. كل نص برمجي بعد التشغيل سيُخرج ملف CSV موجود في مجلد temp في جذر محرك الأقراص C:

شرح سريع للكود:

CompedFiles.ps1

1. سيبدأ من المسار المحدد
2. سيتنقل عبر كل مجلد ويجد الملفات بداخله.
3. كل ملف يصادفه، سيبدأ في فحص الملف بحثًا عن النمط "\w*://\w/<\w*\s.<.>"
4. كل تطابق يجده، سيحدد المسار إلى الملف والسطر الذي تم العثور عليه فيه.
5. بعد التحديد، سيكتب ذلك في ملف CSV الموجود في مجلد temp في جذر C:

LogChecker

1. سيبدأ من المسار المحدد
2. سيتنقل عبر كل مجلد ويجد الملفات بداخله.
3. كل ملف يصادفه، سيبدأ في فحص الملف بحثًا عن النمط "Set-OabVirtualDirectory"
   1. قد يلتقط هذا أكثر مما نريد -- لكنها أفضل طريقة لدي في الوقت الحالي.
4. كل تطابق يجده، سيحدد المسار إلى الملف والسطر الذي تم العثور عليه فيه.
5. بعد التحديد، سيكتب ذلك في ملف CSV الموجود في مجلد temp في جذر C:

PossibleExfil

1. بدءًا من جذر C:
2. سيبحث في كل دليل عن أي شيء بامتداد الملف zip أو tar أو gzip أو 7z أو rar أو dmp
   1. zip -- لأي ملفات قد تم ضغطها وسحبها من الخادم
   2. tar -- لأي مجلد قد تم أرشفته باستخدام tar وسحبه من الخادم
   3. gzip -- لأي ملفات قد تم ضغطها باستخدام gzip وسحبها من الخادم
   4. 7z -- لأي ملفات بصيغة 7z قد تم سحبها من الخادم
   5. rar -- لأي ملفات بصيغة rar قد تم سحبها من الخادم
   6. dmp -- أي تفريغات عمليات محتملة
3. هذا بالطبع سيسحب أكثر بكثير مما ستحتاج إلى النظر فيه.
4. سيتم إخراج هذا إلى ملف CSV في مجلد temp في جذر C:
   1. الشيء الرائع هو أنه نظرًا لأنه في ملف csv يمكننا الفرز حسب التاريخ
      1. تضمنت فحوصاتنا أي شيء يعود إلى سبتمبر من العام الماضي -- حيث كانت هناك تقارير تعود إلى أكتوبر من العام الماضي

Get AdUsers / Groups

1. ستقوم هذه بالاستعلام عن مجموعات AD ومستخدمي AD
2. باستخدام هذا، ستتمكن من معرفة ما إذا كان المتسللون قد عدلوا أي مجموعة AD أو أنشأوا مستخدم مسؤول جديد
3. سيتم إخراج هذا إلى ملف CSV في مجلد temp في جذر C: