فورينسيا

أداة مكافحة التحليل الجنائي لفرق الأحمر، تُستخدم لمسح بعض الآثار في مرحلة ما بعد الاستغلال.

تقلل من استنفاد الحمولة وتزيد من عداد الاكتشاف. يمكن استخدامها لاختبار قدرات فرق الاستجابة للحوادث / التحليل الجنائي لديك.

القدرات

• إلغاء تحميل برنامج تشغيل Sysmon.
• تمزيق الملفات بطريقة Gutmann.
• تعطيل USNJrnl.
• تعطيل Prefetch.
• مسح السجلات وتعطيل سجل الأحداث.
• تعطيل وقت تحديث User Assist.
• تعطيل وقت الوصول.
• مسح العناصر الحديثة
• مسح ذاكرة التخزين المؤقت لـ Shim
• مسح RecentFileCache
• مسح ShellBag
• حذف ملفات الحجر الصحي لـ Windows Defender
• قدرات إذابة الملفات.

تحديث مهم

تمت الإضافة:

• مسح العناصر الحديثة
• مسح ذاكرة التخزين المؤقت لـ Shim
• مسح RecentFileCache
• مسح ShellBag
• مسح ملفات الحجر الصحي

المهام المتبقية

• تشغيل USNJrnl على جميع محركات الأقراص.

• إعادة كتابة المساحة غير المخصصة.

• بعض التحسينات.

الاعتمادات

https://github.com/Naranbataar/Corrupt

https://github.com/LloydLabs/delete-self-poc

https://github.com/OsandaMalith/WindowsInternals/blob/master/Unload_Minifilter.c

https://stackoverflow.com/users/15168/jonathan-leffler

https://github.com/GiovanniDicanio/WinReg