NorkNork - Tool zur Erkennung von Empire-Persistenz-Payloads

https://www.n00py.io/2017/01/removing-backdoors-powershell-empire-edition/

ÜBER:

Dieses Skript wurde entwickelt, um Powershell Empire Persistenz-Payloads auf Windows-Systemen zu identifizieren.
Es unterstützt derzeit Überprüfungen für diese Persistenzmethoden:

• Geplante Aufgaben
• Autostart
• WMI-Abonnements
• Security Support Provider
• Backdoors im Erleichterte Bedienung Center
• Deaktivierung des Computerkontokennworts

INSTALLATION:

Sie können dieses Skript mit Python 2.7 ausführen oder indem Sie die PyInstaller-Exe herunterladen. Führen Sie die Binärdatei oder das Skript in einem PowerShell-Fenster aus.

VERWENDUNG:

Ausführen des Python-Skripts

PS C:\Users\>python norknork.py

Ausführen der Binärdatei

PS C:\Users\> .\norknork.exe

Speichern der Daten in einer Textdatei

PS C:\Users\> .\norknork.exe > results.txt

FAQ:

F: Warum haben Sie das nicht einfach in PowerShell erstellt?

A: Ich war zu faul, PowerShell zu lernen.

F: Wird dies alle Persistenzmethoden finden?

A: Nein, nur die in Powershell Emprire und nur die, die über Neustarts hinweg bestehen.