Forensia

Anti-Forensik-Tool für Red Teamer, das in der Post-Exploitation-Phase verwendet wird, um einige Fußspuren zu löschen.

Reduziert das Ausbrennen von Payloads und erhöht die Entdeckungsdauer. Kann verwendet werden, um die Fähigkeiten Ihrer Incident-Response-/Forensik-Teams zu testen.

Fähigkeiten

• Entladen des Sysmon-Treibers.
• Datei-Schreddern nach der Gutmann-Methode.
• USNJrnl-Deaktivierung.
• Prefetch-Deaktivierung.
• Log-Eraser und Eventlog-Deaktivierung.
• Deaktivierung der User-Assist-Aktualisierungszeit.
• Deaktivierung der Zugriffszeit.
• Löschen der zuletzt verwendeten Elemente
• Löschen des Shim-Cache
• Löschen des RecentFileCache
• Löschen des ShellBag
• Löschen von Windows Defender Quarantänedateien
• Dateischmelzfähigkeiten.

Wichtiges Update

Hinzugefügt:

• Löschen der zuletzt verwendeten Elemente
• Löschen des Shim-Cache
• Löschen des RecentFileCache
• Löschen des ShellBag
• Löschen von Quarantänedateien

TODO

• USNJRnl-Ausführung auf allen Festplatten.

• Überschreiben des nicht zugewiesenen Speicherplatzes.

• Ein wenig Feinschliff.

Credits

https://github.com/Naranbataar/Corrupt

https://github.com/LloydLabs/delete-self-poc

https://github.com/OsandaMalith/WindowsInternals/blob/master/Unload_Minifilter.c

https://stackoverflow.com/users/15168/jonathan-leffler

https://github.com/GiovanniDicanio/WinReg