Mr.Kaplan

Beschreibung

MrKaplan ist ein Tool, das Red Teamern helfen soll, verborgen zu bleiben, indem es Beweise für die Ausführung beseitigt. Es funktioniert, indem es Informationen wie die Ausführungszeit, einen Snapshot von Dateien speichert und jeden Beweis dem entsprechenden Benutzer zuordnet.

Dieses Tool ist inspiriert von MoonWalk, einem ähnlichen Tool für Unix-Maschinen.

Weitere Informationen finden Sie auf der Wiki-Seite.

Funktionen

• Anhalten der Ereignisprotokollierung.
• Löschen von Datei-Artefakten.
• Löschen von Registry-Artefakten.
• Kann für mehrere Benutzer ausgeführt werden.
• Kann als Benutzer und als Administrator ausgeführt werden (Es wird dringend empfohlen, als Administrator auszuführen).
• Kann Zeitstempel von Dateien speichern.
• Kann bestimmte Vorgänge ausschließen und Artefakte für blaue Teams hinterlassen.

Verwendung

• Bevor Sie Ihre Operationen auf dem Computer starten, führen Sie MrKaplan mit dem begin-Flag aus und wenn Sie fertig sind, führen Sie es erneut mit einem end-Flag aus.
• ENTFERNEN SIE NICHT die Datei MrKaplan-Config.json, bis Sie das Tool erneut mit dem end-Flag ausführen, andernfalls kann MrKaplan die Informationen nicht verwenden.

IOCs

• PowerShell-Prozess, der auf die in der Wiki-Seite erwähnten Artefakte zugreift.
• PowerShell importiert einen merkwürdigen Base64-Block.
• PowerShell-Prozess, der Token-Manipulation durchführt.
• MrKaplans Registrierungsschlüssel: HKCU:\Software\MrKaplan.

Danksagungen

• PowerSploit
• Phant0m
• ForensicArtifacts

Haftungsausschluss

Ich bin in keiner Weise verantwortlich für Schäden, die an Ihrem Computer/Programm durch dieses Projekt entstehen. Ich nehme Beiträge gerne an, erstellen Sie einen Pull-Request und ich werde ihn überprüfen!