EvilMist

EvilMist ist eine Sammlung von Skripten und Hilfsprogrammen, die zur Unterstützung von Cloud-Sicherheitskonfigurationsaudits, Cloud-Penetrationstests und Cloud-Red-Teaming entwickelt wurden. Das Toolkit hilft dabei, Fehlkonfigurationen zu identifizieren, Privilege-Escalation-Pfade zu bewerten und Angriffstechniken zu simulieren. EvilMist zielt darauf ab, cloudfokussierte Red-Team-Workflows zu optimieren und die allgemeine Sicherheitslage von Cloud-Infrastrukturen zu verbessern.

---

Tools

Unauthentifizierte Entra-ID-Enumeration

Tool zur unauthentifizierten Azure-/Entra-ID-Enumeration und -Aufklärung. Führt passive/semi-passive Enumeration über öffentlich zugängliche APIs und DNS-Abfragen durch, ohne dass Authentifizierungstokens erforderlich sind.

Wichtigste Funktionen:

• Keine Authentifizierung erforderlich - Funktioniert ohne Azure-Tokens oder Anmeldedaten
• Tenant-Erkennung - Ermittelt Mandanten-ID, -Name und -Region über azmap.dev und die OpenID-Konfiguration
• Domain-Realm-Analyse - Unterscheidet Managed- und Federated-Authentifizierung
• Prüfung der Benutzerexistenz - Verifiziert E-Mail-Adressen über die GetCredentialType-API
• DNS-Aufklärung - Ermittelt MX-, SPF-, TXT-, CNAME-, SRV- und Autodiscover-Einträge
• Port-Scanning - Prüft gängige Azure-Ports (HTTPS, LDAP, Kerberos, RDP)
• Stealth-Modus - Konfigurierbare Verzögerungen und Jitter zur Vermeidung von Rate-Limiting
• Exportoptionen - JSON- und CSV-Exportformate

Version	Dokumentation	Datei
PowerShell	EntraEnum-PS1.md	scripts/powershell/Invoke-EntraEnum.ps1

---

Enumerate-EntraUsers

Umfassendes Tool zur Enumeration von Azure-Entra-ID-Benutzern (Azure AD) und zur Sicherheitsbewertung, verfügbar sowohl als PowerShell- als auch als Python-Version.

Wichtigste Funktionen:

• 15+ Methoden zur Benutzerenumeration - Funktioniert auch, wenn der direkte Zugriff auf /users blockiert ist
• Sicherheitsbewertung - MFA-Status, privilegierte Rollen, veraltete Konten, Gastbenutzer
• Angriffsfläche für Anmeldedaten - Analyse von SSPR, Legacy-Authentifizierung und App-Kennwörtern
• Conditional-Access-Analyse - Richtlinien-Enumeration und Erkennung von Lücken
• Geräte- und Intune-Enumeration - Verwaltete Geräte, Compliance-Richtlinien
• Angriffspfad-Analyse - Privilege-Escalation-Pfade und Lateral Movement
• Power Platform - Enumeration von Power-Apps- und Power-Automate-Flows
• Exportoptionen - BloodHound/AzureHound-JSON, HTML-Berichte, CSV/JSON
• Stealth-Modus - Konfigurierbare Verzögerungen und Jitter zur Vermeidung der Erkennung

Version	Dokumentation	Datei
PowerShell	EntraRecon-PS1.md	scripts/powershell/Invoke-EntraRecon.ps1
Python	EntraRecon-PY.md	scripts/python/entra_recon.py

---

MFA-Sicherheitscheck

Spezialisiertes Sicherheitsbewertungs-Tool zur Identifizierung von Azure-Entra-ID-Benutzern ohne aktivierte Multi-Faktor-Authentifizierung (MFA). Enthält erweiterte Funktionen zur Erkennung freigegebener Postfächer und zur Analyse von Anmeldeaktivitäten..

Wichtigste Funktionen:

• MFA-Erkennung - Identifiziert Benutzer ohne starke Authentifizierungsmethoden
• Verfolgung der letzten Anmeldung - Zeigt Datum/Uhrzeit der letzten Anmeldung und Aktivitätsmuster
• Erkennung freigegebener Postfächer - Identifiziert und filtert automatisch Konten freigegebener Postfächer
• Prüfung der Anmeldefähigkeit - Ermittelt, ob Konten tatsächlich authentifizieren können
• Risikobewertung - Kategorisiert Benutzer nach Risikostufe (HIGH/MEDIUM/LOW)
• Aktivitätsanalysen - Anmeldestatistiken, Aufschlüsselung nach Abteilungen, veraltete Konten
• Matrixansicht - Kompaktes Tabellenformat für schnelles visuelles Scannen
• Exportoptionen - CSV/JSON mit umfassenden Benutzerdetails
• Stealth-Modus - Konfigurierbare Verzögerungen und Jitter zur Vermeidung der Erkennung

Version	Dokumentation	Datei
PowerShell	EntraMFACheck-PS1.md	scripts/powershell/Invoke-EntraMFACheck.ps1

---

Gastkonto-Enumeration

Umfassendes Tool zur Analyse von Gastkonten, mit dem externe Benutzer in Azure Entra ID identifiziert, analysiert und hinsichtlich ihrer Sicherheitslage bewertet werden. Unverzichtbar für die Governance von Gastzugriffen und für Sicherheitsaudits.

Wichtigste Funktionen:

• Erkennung von Gastkonten - Ermittelt alle Gastbenutzer im Mandanten
• MFA-Statuserkennung - Identifiziert Gäste ohne Multi-Faktor-Authentifizierung
• Verfolgung der letzten Anmeldung - Zeigt Datum/Uhrzeit der Anmeldung und Aktivitätsmuster für Gäste
• Extraktion der Gastdomänen - Identifiziert die Herkunftsorganisationen von Gastbenutzern
• Verfolgung des Einladungsstatus - Zeigt angenommene, ausstehende oder abgelaufene Einladungen
• Risikobewertung - Kategorisiert Gäste nach Risikostufe (HIGH/MEDIUM/LOW)
• Aktivitätsanalysen - Anmeldestatistiken, veraltete Konten, ungenutzte Einladungen
• Matrixansicht - Kompaktes Tabellenformat für schnelles visuelles Scannen
• Filteroptionen - Nur Gäste ohne MFA anzeigen oder deaktivierte Konten einschließen
• Exportoptionen - CSV/JSON mit umfassenden Gastdetails
• Stealth-Modus - Konfigurierbare Verzögerungen und Jitter zur Vermeidung der Erkennung

Version	Dokumentation	Datei
PowerShell	EntraGuestCheck-PS1.md	scripts/powershell/Invoke-EntraGuestCheck.ps1

---

Prüfung kritischer administrativer Zugriffe

Umfassendes Sicherheitsbewertungs-Tool zur Identifizierung von Azure-Entra-ID-Benutzern mit Zugriff auf 10 kritische administrative Anwendungen, darunter PowerShell-Tools, Verwaltungsportale, zentrale Microsoft-365-Dienste und Privileged Identity Management. Unverzichtbar für die Governance privilegierter Zugriffe und die Prüfung administrativer Tools.