ir-rescue wurde für Incident-Response- und Forensik-Analysten sowie für Sicherheitspraktiker geschrieben und wird in Unternehmen wie Cisco, PepsiCo, SaskTel, Praetorian und Counteractive Security eingesetzt. Es stellt einen Versuch dar, die Host-Datenerfassung unabhängig von den Untersuchungsanforderungen zu optimieren und weniger auf Vor-Ort-Unterstützung angewiesen zu sein, wenn Fernzugriff oder Live-Analyse nicht verfügbar sind. Es kann somit genutzt werden, um die bereits gebündelten Tools und Befehle während forensischer Aktivitäten einzusetzen.

Abhängigkeiten und Verwendung

ir-rescue stützt sich auf eine Reihe von Drittanbieter-Dienstprogrammen zur Erfassung spezifischer Daten von Hosts. Die Versionen der Tools sind im letzten Abschnitt aufgeführt und werden im Paket wie besehen bereitgestellt; daher müssen ihre Lizenzen und Nutzungsvereinbarungen vor dem Ausführen von ir-rescue akzeptiert werden. Beachten Sie, dass Sysinternals-Dienstprogramme gemäß den Sysinternals Software License Terms nicht zur Weitergabe an andere kopiert werden dürfen. Aus diesem Grund wird ir-rescue nicht mehr zusammen mit Sysinternals-Dienstprogrammen veröffentlicht, und alle im Abschnitt Drittanbieter-Tool-Liste und Referenzen aufgeführten Einträge müssen aus dem Sysinternals Live Repository heruntergeladen und in die entsprechenden Ordner verschoben werden, damit das Skript ausgeführt werden kann.

Die Beschreibungen und die Organisation des Toolsets sind unten aufgeführt, wobei gegebenenfalls sowohl 32-Bit- als auch 64-Bit-Versionen von Windows-Tools nebeneinander enthalten sind:

• tools-nix/: Ordner für Drittanbieter-Tools für ir-rescue-nix:
  • ascii/: Text-ASCII-Art-Dateien im *.txt-Format;
  • cfg/: Konfigurationsdateien:
    • ir-rescue-nix.conf: Hauptkonfigurationsdatei für ir-rescue-nix;
    • nonrecursive-(hidden|md5sum).txt: versteckte Dateien und md5sum nicht-rekursive Speicherorte;
    • nonrecursive.txt: nicht-rekursive Speicherorte für mehrere Tools;
    • recursive-(exec|hidden|md5sum).txt: ausführbare Dateien, versteckte Dateien und md5sum rekursive Speicherorte;
    • recursive.txt: rekursive Speicherorte für mehrere Tools;
  • mem/: Speicher-Tools:
    • AVML-0.21 (64-Bit-ELF): erstellt einen Speicherauszug;
• tools-win\: Ordner für Drittanbieter-Tools für ir-rescue-win:
  • activ\: Parsing-Tools für Benutzer- und Systemaktivitätsartefakte;
    • exiftool.exe: parst Link-Dateien (LNK);
    • JLECmd.exe: parst Sprunglisten für automatische und benutzerdefinierte Ziele;
    • LastActivityView.exe: zeigt eine Mini-Zeitleiste der Benutzer- und Systemaktivität wie An- und Abmeldungen an;
    • rifiuti-vista[64].exe: parst Papierkorb-Dateien;
    • USBDeview[64].exe: listet zuvor und aktuell verbundene USB-Geräte auf;
  • ascii\: Text-ASCII-Art-Dateien im *.txt-Format;
  • cfg\: Konfigurationsdateien:
    • ir-rescue-win.conf: Hauptkonfigurationsdatei für ir-rescue-win;
    • nonrecursive-(acl|iconsext|md5deep).txt: Nicht-rekursive Speicherorte für , und ;
• data\: Datenordner, der während der Laufzeit mit den gesammelten Daten erstellt wird:
  • <HOSTNAME>-<DATE>\: <DATE> folgt dem Format YYYYMMDD:
    • ir-rescue-win: Ordner für ir-rescue-bezogene Daten
      • ir-rescue-win.log: ausführliche Protokolldatei mit Statusmeldungen;
      • ir-rescue-win-global.log: globales Protokoll mit zuvor ausgeführten ir-rescue-win-Befehlen;
      • screenshot-#: nummerierte Bildschirmfotos nur für ir-rescue-win;
    • Ordner, die nach dem für die Sammlung festgelegten Datentyp benannt sind.

ir-rescue-win muss in einer Befehlszeilenkonsole mit Administratorrechten ausgeführt werden, während ir-rescue-nix in einem Befehlszeilenfenster mit Root-Rechten ausgeführt werden muss. Beide benötigen keine Argumente und verwenden eine entsprechende Konfigurationsdatei, um die gewünschten Optionen festzulegen. Daher genügt es, die Skripte wie folgt aufzurufen:

• ir-rescue-win-v1.w.x.bat, oder
• ./ir-rescue-nix-v1.y.z.sh.

Einige Tools, die rekursive Suchläufe oder Scans durchführen, sind so eingestellt, dass sie nur in bestimmten Ordnern rekursiv vorgehen. Dies macht die Datensammlung zielgerichteter und berücksichtigt gleichzeitig die Laufzeitleistung, da die angegebenen Ordner aufgrund der intensiven Nutzung durch Malware wahrscheinliche Analyseorte sind. Die Speicherorte für rekursive Suche und nicht-rekursive Suche für Windows- und Unix-Systeme können nach Belieben in den entsprechenden Textdateien unter den Konfigurationsordnern geändert werden. Einige Tools haben dedizierte Dateien mit spezifischen Speicherorten, in denen rekursiv bzw. nicht rekursiv vorgegangen werden soll. Diese heißen recursive-<tool>.txt und nonrecursive-<tool>.txt, wobei <tool> durch den Tool-Namen ersetzt wird. Jede Datei muss einen Speicherort als vollständigen Pfad pro Zeile ohne abschließende Backslashes oder Forward Slashes enthalten.

Während der Laufzeit werden alle Zeichen, die an die Kanäle Standard Output (STDOUT) und Standard Error (STDERR) ausgegeben werden, in UTF-8-kodierte Textdateien protokolliert. Das bedeutet, dass die Ausgabe der Tools in entsprechenden Ordnern und Textdateien gespeichert wird. Status-ASCII-Meldungen werden dennoch auf der Konsole ausgegeben, um den Ausführungsfortschritt zu überprüfen. Ein temporärer Ordner, der unter %TEMP%\ir-rescue-win oder /tmp/ir-rescue-nix erstellt wird, dient zum Speichern von Laufzeitdaten (z. B. Speicherauszug-Treiber und Links zu VSS-Kopien) und wird nach Abschluss gelöscht. Datenordner werden während der Initialisierung als Platzhalter für Daten erstellt. Nach der Sammlung können leere Ordner gelöscht werden, wenn keine Daten gesammelt wurden (z. B. leerer Browser-Cache). Am Ende werden die Daten in ein passwortgeschütztes Archiv komprimiert und anschließend entsprechend gelöscht, sofern dies eingestellt ist.

Konfigurationsdatei

Die Konfigurationsdatei von ir-rescue-win und ir-rescue-nix besteht hauptsächlich aus einfachen binären Direktiven (true oder false) für das allgemeine Verhalten der Skripte, für welche Datentypen gesammelt werden sollen und für welche erweiterten Tools ausgeführt werden sollen. Zeilen, denen ein Rautezeichen (#) vorangestellt ist, gelten als Kommentare. Diese dienen dazu, kurz zu beschreiben, was die jeweilige Option tut, Ordner, Dateien oder Registrierungsschlüssel aufzuzählen, die wichtig sind, um Kontext zu liefern, sowie relevante Tools aufzulisten. Die folgenden Beschreibungen gelten nur für ir-rescue-win, dienen aber als Beispiel, um das grundsätzliche Vorgehen und die Konfigurationsdatei von ir-rescue-nix zu verstehen.

Für ir-rescue-win werden Daten in die folgenden Typen gruppiert, die durch die Direktiven gegeben sind:

• activity: Diese Option legt die Sammlung von Benutzeraktivitätsdaten fest;
• disk: Diese Option legt die Sammlung von Datenträgerdaten fest;
• events: Diese Option legt die Sammlung von Windows-Ereignisprotokollen fest;
• filesystem: Diese Option legt die Sammlung von Daten in Bezug auf NTFS und Dateien fest;
• malware: Diese Option legt die Sammlung von Systemdaten fest, die zur Erkennung von Malware verwendet werden können;
• memory: Diese Option legt die Sammlung des Arbeitsspeichers fest;
• network: Diese Option legt die Sammlung von Netzwerkdaten fest;
• registry: Diese Option legt die Sammlung der System- und Benutzerregistrierung fest;
• system: Diese Option legt die Sammlung systembezogener Informationen fest;
• web: Diese Option legt die Sammlung von Browserverlauf und Caches fest.

Einerseits ist die Verwendung der erweiterten Tools, die durch die Optionen sigcheck, density, iconsext und yara festgelegt werden, unabhängig von den Konfigurationen zur Sammlung der Datentypen. Andererseits sind Direktiven unter den jeweiligen Hauptoptionen der Datentypen an diese gebunden, d. h. sie werden ignoriert, wenn die Hauptoptionen auf false gesetzt sind. Beispielsweise wird memory-dump=true, die Option, die das Tool zum Erstellen eines Speicherauszugs des Random Access Memory (RAM) anweist, ignoriert, wenn memory=false ist. Gleiches gilt für die Option <option>-all, die aus Bequemlichkeit alle Optionen eines bestimmten Datentyps auf true setzt, außer <option>-vss. Das Skript unterstützt das Abrufen von Daten aus allen verfügbaren VSS-Kopien durch das Erstellen von Hardlinks zu den Kopien über den Windows-Kernel-Namespace, eine Funktion, die mit vss=true aktiviert werden kann. Jede der Hauptoptionen hat ihre eigene <option>-vss-Option, die die Erfassung von VSS-Daten für diesen bestimmten Datentyp aktiviert oder deaktiviert. Beachten Sie, dass die von den Optionen malware-startup und web-(chrome|ie|mozilla) gesammelten Daten ebenfalls passwortgeschützt sind, wobei das Passwort "infected" ohne Anführungszeichen lautet. Alle Optionen, die in der Konfigurationsdatei nicht gefunden oder auskommentiert sind, werden zur Laufzeit auf false gesetzt, einschließlich des Passworts für das endgültige komprimierte Archiv.

Beachten Sie weiterhin, dass die Option iconsext nützlich ist, um nach Binärdateien zu suchen, die mit ungewöhnlichen Frameworks kompiliert wurden, die PE-Symbole setzen (z. B. Python). Darüber hinaus müssen YARA-Regeln die Dateierweiterung *.yar haben und in den Ordner tools-win\yara\rules\ abgelegt werden. Die Ausgabe aller erweiterten Tools wird im resultierenden Ordner malware gespeichert.

Nachfolgend ein minimales Beispiel der Konfigurationsdatei, die die Sammlung des RAM, einschließlich des Live- und historischen ausgelagerten Speichers, der Systemregistrierung und der Windows-Ereignisprotokolle im Textformat sowie die Komprimierung des endgültigen Datenordners mit dem Passwort "infected" (ohne Anführungszeichen) festlegt. Beachten Sie, dass diese Konfiguration die Sammlung der historischen Systemregistrierungsdateien überspringt.```

ir-rescue-win configuration file

accepted values: 'true' or 'false' (exclusive)

general

killself=false sdelete=false zip=true zpassword=infected ascii=false

modules

events=true memory=true registry=true

vss=true

events

events-all=false events-txt=true

memory

memory-all=false memory-vss=true memory-dump=true memory-pagefile=true

registry

registry-all=false registry-vss=false registry-system=true