Ps-Tools, ein fortschrittliches Prozessüberwachungs-Toolkit für offensive Operationen.

Ein gutes technisches Verständnis der Systeme, auf die wir während eines Engagements stoßen, ist eine grundlegende Voraussetzung für die Entscheidung über den nächsten Schritt innerhalb einer Operation. Das Sammeln und Analysieren von Daten laufender Prozesse von kompromittierten Systemen liefert uns eine Fülle von Informationen und hilft uns, besser zu verstehen, wie die IT-Landschaft einer Zielorganisation aufgebaut ist. Darüber hinaus ermöglicht das regelmäßige Abfragen von Prozessdaten, auf Änderungen in der Umgebung zu reagieren oder Auslöser zu setzen, wenn eine Untersuchung stattfindet.

Um detaillierte Prozessdaten von kompromittierten Endpunkten sammeln zu können, haben wir eine Sammlung von Prozesstools geschrieben, die die Leistungsfähigkeit dieser fortschrittlichen Prozessdienstprogramme in C2-Frameworks (wie Cobalt Strike) bringen.

Weitere Informationen zu den Tools und verwendeten Techniken finden Sie im folgenden Blog: https://outflank.nl/blog/2020/03/11/red-team-tactics-advanced-process-monitoring-techniques-in-offensive-operations/

Die folgenden Funktionen sind im Toolkit enthalten:

Psx: Shows a detailed list of all processes running on the system.
Psk: Shows detailed kernel information including loaded driver modules.
Psc: Shows a detailed list of all processes with Established TCP connections.
Psm: Show detailed module information from a specific process id (loaded modules, network connections e.g.).
Psh: Show detailed handle information from a specific process id (object handles, network connections e.g.).
Psw: Show Window titles from processes with active Windows.

Verwendung:

Download the Outflank-Ps-Tools folder and load the Ps-Tools.cna script within the Cobalt Strike Script Manager.
Use the Beacon help command to display syntax information.

This project is written in C/C++
You can use Visual Studio to compile the reflective dll's from source.

Danksagungen

Autor: Cornelis de Plaa (@Cneelis) / Outflank

Besonderer Dank an: Stan Hegt (@StanHacked) und alle meine anderen großartigen Kollegen bei Outflank