jwillyamz/ezemuGegner beobachten, Gegner nachahmen: Einfache Ausführung von Befehlen für defensive Optimierung/Forschung (jetzt mit mehr ELF im Regal)
ezEmu ermöglicht es Benutzern, gegnerische Verhaltensweisen mithilfe verschiedener Ausführungstechniken zu testen. Es ist so etwas wie ein "offensives Framework für Blue Teamer", hat keine Netzwerk-/C2-Fähigkeiten und konzentriert sich stattdessen auf die Erstellung lokaler Testtelemetrie.
Siehe /Linux für ELF
ezEmu wird als parent.exe kompiliert, um Prozessbäume zu vereinfachen, und verfolgt (und beendet auch) untergeordnete Prozesse, um einfache Suchvorgänge in Protokollen/Dashboards zu ermöglichen.
Aktuelle Ausführungstechniken umfassen:
Hinweis: Sie müssen einige makrobezogene Trust Center-Einstellungen aktivieren, damit die Word-Sachen funktionieren - https://support.office.com/en-us/article/enable-or-disable-macros-in-office-files-12b036fd-d140-4e74-b45e-16fed1a7e5c6. Sie benötigen außerdem eine installierte Python-Installation und die PATH-Variable für #12 gesetzt.
ezEmu ist eine interaktive Terminalanwendung und funktioniert viel besser, wenn Sie es von cmd.exe aus ausführen.
Kompilieren Sie mit Verweis auf einige lokale DLL-Abhängigkeiten
(ex: csc /r:Microsoft.Office.Interop.Word.dll,Microsoft.Vbe.Interop.dll,System.Management.Automation.dll parent.cs)
Dies begann als einfache persönliche Forschung/Herumspielen und ist definitiv nicht als "sauberer Code" gedacht (das ist sehr Jamie-code™️). Dennoch nehme ich gerne Issues und weitere Vorschläge an!
TODO: Logausgabedatei (vielleicht), mehr CTI + Lernen >> mehr Ausführungstechniken (immer)
©2020 The MITRE Corporation. Alle Rechte vorbehalten.
Zur Veröffentlichung freigegeben; uneingeschränkte Verbreitung. Fallnummer 20-1357.
Lizenziert unter der Apache License, Version 2.0 (der "Lizenz"); Sie dürfen diese Datei nur in Übereinstimmung mit der Lizenz verwenden. Eine Kopie der Lizenz erhalten Sie unter
http://www.apache.org/licenses/LICENSE-2.0
Sofern nicht durch geltendes Recht vorgeschrieben oder schriftlich vereinbart, wird die Software unter der Lizenz im "IST-ZUSTAND" (OHNE GEWÄHRLEISTUNG) verteilt, ohne ausdrückliche oder stillschweigende Gewährleistung jeglicher Art. Siehe die Lizenz für die spezifischen Berechtigungen und Einschränkungen.
Die Zugehörigkeit des Autors zur MITRE Corporation dient ausschließlich Identifikationszwecken und soll nicht die Zustimmung oder Unterstützung der MITRE Corporation zu den vom Autor geäußerten Positionen, Meinungen oder Standpunkten vermitteln oder implizieren.
