مقدمة

منذ عام 2021، طوّرت عددًا من السكربتات لمساعدتي في تحقيقاتي وجهود المعالجة. فكّرت، لمَ لا أشاركها مع الجمهور، آملًا أن تساعدك.

كيف تعمل هذه السكربتات؟

السكربتات التي طوّرتها مصممة للعمل مع Crowdstrike Endpoint Detection and Response (EDR). وهي في الأساس سكربتات سحابية لمعالجة الأجهزة عن بُعد بسرعة بنقرة زر واحدة.

لماذا إنشاء هذه السكربتات؟

الغرض من سكربتاتي هو مساعدة محلل SOC أو الاستجابة للحوادث في تحقيقه. بعض السكربتات تساعد في معالجة برنامج/برمجيات إعلانية غير مرغوب فيها معينة. وسكربتات أخرى تساعد في التحقيق في نظام معين بواسطة اسم المستخدم لتوفير مزيد من الرؤية.

جدول المحتويات

السكربتات السحابية اليدوية

• WinInspect - WinInspect هي أداة خفيفة الوزن لمساعدة المحلل على توفير رؤية أكبر داخل نظام Windows بناءً على اسم مستخدم مستهدف.
• MACInspect - MACInspect هي أداة خفيفة الوزن لمساعدة المحلل على توفير رؤية أكبر داخل نظام MAC بناءً على اسم مستخدم مستهدف.
• LinInspect - LinInspect هي أداة خفيفة الوزن لمساعدة المحلل على توفير رؤية أكبر داخل نظام Linux بناءً على اسم مستخدم مستهدف.
• EnumChromeExt - يسترجع EnumChromeExt إضافات Chrome ويحاول تلقائيًا اكتشاف الاسم.
• Win-PortScanner - Win-PortScanner هو ماسح منافذ خفيف للغاية.
• ScanDll - ScanDll هي أداة للمساعدة في البحث داخل العمليات عن مكتبة ارتباط ديناميكي معينة.
• ScanDllv2 - ScanDllv2 هي أداة مصممة للبحث داخل العمليات عن مكتبة ارتباط ديناميكي محددة باستخدام C#. وهي أسرع بكثير من ScanDll، لكن المخرجات تُكتب إلى ملف سجل بسبب مشكلات في عرض المخرجات القياسية على واجهة CrowdStrike RTR UI.
• RegScanner - أداة سريعة بشكل مذهل مصممة للبحث عن مفتاح أو قيمة في السجل باستخدام كلمة مفتاحية فريدة.
• Win-DiskImage-Toolkit - أداة بسيطة لسرد صورة قرص أو إلغاء تحميلها بسرعة.
• ScreenConnect-C2Extractor - يسترجع ScreenConnect-C2Extractor عنوان C2 من user.config الخاص بـ ScreenConnect المعروف أيضًا باسم ConnectWise Client.
• Win-PacketCapture - نص برمجي موجّه لإنشاء تفريغ حزم للتحليل.
• EvidenceCollection - يجمع هذا النص البرمجي أنواع مستندات المستخدم الشائعة—مثل ملفات Word وجداول بيانات Excel والملفات النصية وملفات PDF ورسائل البريد الإلكتروني—من أدلة Downloads وDocuments وDesktop الخاصة بمستخدم محدد. ينشئ تلقائيًا الدليل C:\temp\SIRT (إذا لم يكن موجودًا بالفعل) وينسخ جميع الملفات المطابقة إلى ذلك الموقع للمراجعة المركزية أو حفظ الأدلة أو التحقيق في الحوادث. يمكن تخصيص أنواع الملفات والأدلة واسم المستخدم بما يناسب احتياجات الحالة.
• Win-DmpEventLogs - Win-DmpEventLogs هي أداة جنائية مفيدة للغاية تتيح لك تفريغ سجلات أحداث Windows ضمن نطاق زمني محدد: 1 = آخر 24 ساعة، 7 = الأسبوع الماضي، 30 = الشهر الماضي، 0 = جميع الأحداث.. تم تنفيذ قواعد أساسية للمساعدة في تحديد الهوية.
• Win-EnumVsCodeExtension - يسرد هذا النص البرمجي PowerShell إضافات Visual Studio Code المثبتة لحساب مستخدم محدد من خلال فحص أدلة إضافات VS Code وتحليل ملف البيانات الوصفية package.json لكل إضافة.
• Win-datebased_filehunt - يستخدم سكربت PowerShell هذا تعليمات C# مضمّنة للبحث بشكل تكراري في محرك الأقراص C:\ عن الملفات التي عُدّلت في تاريخ محدد. يسجّل جميع الملفات المطابقة، بما في ذلك مسارها الكامل وطابع الوقت لآخر تعديل وحجم الملف، في ملف سجل موجود في C:\Windows\Temp\hunter_log_results.log.
• Win-TokenImpersonateExec - يمكّن هذا السكربت المحللين من تنفيذ أوامر ضمن سياق الأمان لمستخدم محدد من خلال الاستفادة من رمز وصول المستخدم. يُرجى استخدام هذا السكربت فقط عند الضرورة. ولأنه ينفّذ أوامر ضمن سياق الأمان لمستخدم مستهدف، ينبغي حصره في الحالات التي يجب فيها جمع آثار أو إعدادات أو بيانات خاصة بالمستخدم ولا يمكن الحصول عليها عبر الوصول الإداري القياسي أو الوصول على مستوى SYSTEM.
• Win-EnumLockedFile - يستفيد هذا السكربت من واجهة Windows Restart Manager API لتحديد العمليات التي لديها ملف محدد مفتوح أو مقفل حالياً.

نصوص برمجية أو أدوات مساعدة متنوعة

• enum_o365tenant - enum_o365tenant هي أداة تعداد لمستأجر Microsoft 365 / Entra ID تُجري استطلاعًا استخباراتيًا غير مُصادَق عليه ضد نقاط نهاية هوية Microsoft وسجلات DNS.
• jsonspection - JSONSpection أداة مساعدة مصممة لفحص وتعداد هياكل بيانات JSON بشكل شامل. تساعدك على تفكيك كتل JSON المعقدة أو المتداخلة، وتحديد جميع مسارات المفتاح-القيمة، وفهم المخطط العام والعلاقات داخل البيانات. وهذا يجعلها مفيدة لتصحيح أخطاء واجهات API، وتحليل السجلات، أو تجهيز البيانات لعمليات التحليل والأتمتة.
• lin-EnumDisk - يُعدّد lin-diskenum.py صور الأقراص الخام مثل ملفات .img و.dd و.raw على Linux. ينشئ جهاز loop للقراءة فقط، ويكتشف الأقسام/أنظمة الملفات، ويحفظ نتائج التعداد بشكل منفصل تحت دليل enum/.
• lin-jextract - يحدد lin-jextract تلقائيًا أنظمة ملفات EXT داخل صورة قرص Linux ويستخرج سجلات نظام الملفات الخاصة بها للتحليل الجنائي.
• x3 Ephemeral File Explorer - x3 أداة مساعدة خفيفة لنظام Linux مصممة لتبسيط سير عمل المحللين عبر تشغيل مدير ملفات رسومي بطريقة تراعي السياق. تدعم التصفح المباشر للأدلة، فضلًا عن مساحات عمل مؤقتة ومعزولة لملف واحد أو أكثر.