redsiege/wmimplantهذه أداة تعتمد على PowerShell ومصممة للعمل كـ RAT. واجهتها هي واجهة شيل حيث يتم ترجمة أي أمر مدعوم إلى ما يعادل WMI للاستخدام على جهاز شبكة/عن بعد. WMImplant تعتمد على WMI.
WMImplant هي أداة تعتمد على PowerShell تستفيد من WMI لأداء إجراءات ضد الأجهزة المستهدفة، وأيضًا كقناة C2 لإصدار الأوامر وتلقي النتائج. من المحتمل أن تتطلب WMImplant صلاحيات المسؤول المحلي على الجهاز المستهدف.
تم التطوير بواسطة @christruncer
change_user - تغيير سياق المستخدم الذي ستنفذ أوامر WMI باسمه
exit - خروج من WMImplant
gen_cli - إنشاء أمر سطر الأوامر لاستخدام WMImplant بطريقة غير تفاعلية
set_default - إعادة خاصية WMI للنظام المستهدف إلى قيمتها الافتراضية
help - عرض قائمة الأوامر والأوصاف
cat - يقرأ محتويات ملف
copy - ينسخ ملف من موقع إلى آخر
download - تنزيل ملف من الجهاز المستهدف
ls - عرض قائمة الملفات/المجلدات لدليل معين
search - البحث عن ملف في محرك أقراص محدد من قبل المستخدم
upload - رفع ملف إلى الجهاز المستهدف
command_exec - تشغيل أمر سطر أوامر واستلام الناتج
disable_wdigest - يزيل قيمة التسجيل UseLogonCredential
disable_winrm - يعطل WinRM على النظام المستهدف
enable_wdigest - يضيف قيمة التسجيل UseLogonCredential
enable_winrm - يمكّن WinRM على النظام المستهدف
registry_mod - تعديل التسجيل على الجهاز المستهدف
remote_posh - تشغيل سكربت PowerShell على جهاز بعيد واستلام الناتج
sched_job - التلاعب بالمهام المجدولة
service_mod - إنشاء أو حذف أو تعديل خدمات النظام
process_kill - قتل عملية بالاسم أو معرف العملية على الجهاز المستهدف
process_start - بدء عملية على الجهاز المستهدف
ps - عرض قائمة العمليات
active_users - عرض مستخدمي المجال الذين لديهم عمليات نشطة على النظام المستهدف
basic_info - يُستخدم لتعداد البيانات الوصفية الأساسية للنظام المستهدف
drive_list - عرض الأقراص المحلية و الشبكية
ifconfig - تلقي معلومات IP من بطاقات الشبكة ذات الاتصالات النشطة
installed_programs - تلقي قائمة البرامج المثبتة على الجهاز المستهدف
logoff - تسجيل خروج المستخدمين من الجهاز المستهدف
reboot - إعادة تشغيل الجهاز المستهدف
power_off - إيقاف تشغيل الجهاز المستهدف
vacant_system - تحديد ما إذا كان المستخدم بعيدًا عن النظام
logon_events - تحديد المستخدمين الذين سجلوا الدخول إلى نظام
أسهل طريقة للبدء مع WMImplant هي استيراد السكربت وتشغيل Invoke-WMImplant. سيعرض ذلك القائمة الرئيسية ويمكنك البدء فورًا في اختيار أمر لتشغيله. ضمن القائمة الرئيسية، يمكنك أيضًا اختيار جعل WMImplant يُخرج أمر سطر الأوامر الذي ستحتاج إلى استخدامه لتشغيل WMImplant بطريقة غير تفاعلية.
شكر خاص لـ: