Ich werde weiterhin neuen Code hinzufügen oder bestehenden Code basierend auf der Suche nach gestohlenen Daten ändern

Wenn Sie kompromittiert wurden, werden diese Skripte das Problem keineswegs für Sie beheben! Sie bieten Ihnen keinen Nutzen, außer dass Sie jetzt das Ausmaß dessen kennen, was mit Ihrem System passiert ist.

Nachdem dies gesagt ist, werde ich weiterhin Skripte hier hinzufügen, die wir in unserer Forschung verwenden, um herauszufinden, welche Daten möglicherweise vom System gestohlen wurden.

Nützliche Links

1. https://www.bleepingcomputer.com/news/security/microsofts-msert-tool-now-finds-web-shells-from-exchange-server-attacks/
2. https://krebsonsecurity.com/2021/03/at-least-30000-u-s-organizations-newly-hacked-via-holes-in-microsofts-email-software/
3. https://www.huntress.com/blog/rapid-response-mass-exploitation-of-on-prem-exchange-servers
4. https://proxylogon.com/

CVE-2021-27065

Schnelle Einzeiler-PowerShell-Skripte zur Erkennung von Webshells, möglichen ZIPs und Logs. Jedes der Skripte gibt nach der Ausführung eine CSV-Datei im Temp-Verzeichnis auf dem Laufwerk C: aus.

Kurze Code-Erklärung:

CompedFiles.ps1

1. Dies beginnt am angegebenen Pfad
2. Arbeitet sich durch jeden Ordner und findet die darin enthaltenen Dateien.
3. Bei jeder gefundenen Datei wird das Datei-Muster "\w*://\w/<\w*\s.<.>" überprüft
4. Bei jedem Treffer wird der Pfad zur Datei und die Zeile in der Datei, in der der Treffer gefunden wurde, ausgewählt
5. Nach der Auswahl wird dies in die CSV-Datei im Temp-Ordner auf dem Laufwerk C: geschrieben

LogChecker

1. Dies beginnt am angegebenen Pfad
2. Arbeitet sich durch jeden Ordner und findet die darin enthaltenen Dateien.
3. Bei jeder gefundenen Datei wird das Datei-Muster "Set-OabVirtualDirectory" überprüft
   1. Dies könnte mehr Treffer liefern, als wir wollen – aber es ist im Moment die beste Methode, die ich habe
4. Bei jedem Treffer wird der Pfad zur Datei und die Zeile in der Datei, in der der Treffer gefunden wurde, ausgewählt
5. Nach der Auswahl wird dies in die CSV-Datei im Temp-Ordner auf dem Laufwerk C: geschrieben

PossibleExfil

1. Beginnend auf dem Laufwerk C: (Stammverzeichnis)
2. Dies durchsucht jedes Verzeichnis nach allem mit den Dateierweiterungen zip oder tar oder gzip oder 7z oder rar oder dmp
   1. zip – für Dateien, die gezippt und vom Server gezogen wurden
   2. tar – für Ordner, die getarnt und vom Server gezogen wurden
   3. gzip – für Dateien, die gzip-komprimiert und vom Server gezogen wurden
   4. 7z – für Dateien, die als 7z archiviert und vom Server gezogen wurden
   5. rar – für Dateien, die als rar archiviert und vom Server gezogen wurden
   6. dmp – mögliche Prozess-Dumps
3. Dies wird natürlich viel mehr liefern, als Sie jemals durchsehen müssen
4. Dies wird als CSV-Datei im Temp-Ordner auf dem Laufwerk C: ausgegeben
   1. Das Tolle daran ist, dass wir aufgrund des CSV-Formats nach Datum sortieren können
      1. Unsere Überprüfungen umfassten alles, das bis September letzten Jahres zurückreicht – da es Berichte bis Oktober letzten Jahres gibt

Get AdUsers / Groups

1. Diese Abfragen greifen auf AD-Gruppen und AD-Benutzer zu
2. Mit dieser Abfrage können Sie feststellen, ob Hacker AD-Gruppen geändert oder einen neuen Admin-Benutzer erstellt haben
3. Dies wird als CSV-Datei im Temp-Ordner auf dem Laufwerk C: ausgegeben