Meerkat

Meerkat ist eine Sammlung von PowerShell-Modulen, die für die Sammlung von Artefakten und Erkundung von Windows-basierten Endpunkten ohne einen vorinstallierten Agenten entwickelt wurden. Zu den Anwendungsfällen gehören Incident-Response-Triage, Bedrohungsjagd, Basislinienüberwachung, Schnappschussvergleiche und mehr.

Artefakte

Host-Info	Netzwerkadapter	Prozesse*	Dienste	Dateien
Audit-Richtlinie	Windows-Firewall-Regeln	DLLs*	Lokale Benutzer	ADS
Laufwerke	Ports	Strings*	Lokale Gruppen	Papierkorb
Hotfixes	ARP	Handles*	Geplante Aufgaben	Hosts-Datei
TPM	DNS	Umgebungsvariablen	Autoruns	Zertifikate
Software	Netzwerkrouten	Sitzungen	Bitlocker	Ausgewählte Registry
Hardware	Freigaben	Domäneninformationen	Defender	Ereignisprotokolle
Treiber		USBHistory	Ereignisprotokoll-Metadaten	Ereignisse im Zusammenhang mit Anmeldefehlern
				Ereignisse im Zusammenhang mit Benutzer-/Gruppenverwaltung
				Ereignisprotokoll-Metadaten

• Ingestieren mit Ihrer bevorzugten SIEM-Lösung (Schauen Sie sich das SIEM-Repository an!)

---

Inhaltsverzeichnis

• Schnellstart
• Verwendung
• Analyse
• Fehlerbehebung
• Bildschirmfotos
• Ähnliche Projekte

---

Schnellstart

Anforderungen

• Erfordert PowerShell 5.0 oder höher auf dem „scannenden“ Gerät.
• Erfordert PowerShell 3.0 oder höher auf den Zielsystemen. Sie können dies weiter abwärtskompatibel zu PowerShell 2.0 machen, indem Sie Vorkommen von "Get-CIMinstance" durch "Get-WMIObject" ersetzen.
• Erfordert WinRM-Zugriff.

Installation mit Git

Führen Sie in einer Eingabeaufforderung oder PowerShell-Konsole Folgendes aus...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

Zum Aktualisieren...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

Installation mit PowerShell

Kopieren Sie diesen Code und fügen Sie ihn in eine PowerShell-Konsole ein.

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

Zum Aktualisieren führen Sie denselben Codeblock einfach erneut aus.

Funktionen können auch verwendet werden, indem Sie die .psm1-Datei öffnen und deren gesamten Inhalt in eine PowerShell-Konsole kopieren.

Meerkat ausführen

Dieser Befehl gibt die Ergebnisse in C:\Users\YourName\Meerkat\ aus.

Invoke-Meerkat

HINWEIS: Die folgenden Module liefern keine Ergebnisse, wenn sie nicht mit Administratorrechten ausgeführt werden.

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

Analyse

Analysemethoden und -techniken finden Sie in den Wiki-Seiten.

Fehlerbehebung

Installieren eines PowerShell-Moduls

Wenn Ihr System Module nicht automatisch in Ihrem Benutzerprofil lädt, müssen Sie das Modul möglicherweise manuell importieren.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

Es wird empfohlen, die folgende Vorgehensweise anzuwenden, um den tatsächlichen Problembereich zu ermitteln.

TEST 1 – FUNKTIONIERT MEERKAT LOKAL?

• Testen Sie Meerkat auf dem lokalen System
  • Invoke-Meerkat

TEST 2 – FUNKTIONIERT DAS FERNSCANNEN?

Hinweis: Führen Sie diesen Test mit einem Konto durch, das lokale Administratorrechte auf dem Zielsystem besitzt.

• Testen Sie Meerkat gegen ein entferntes Windows-System
  • Invoke-Meerkat -Computer RemoteName