Einleitung

Seit 2021 habe ich eine Reihe von Skripten entwickelt, die mir bei meinen Untersuchungen und Behebungsmaßnahmen helfen. Ich dachte mir, warum sollte ich sie nicht der Öffentlichkeit zur Verfügung stellen, in der Hoffnung, dass sie dir helfen.

Wie funktionieren diese Skripte?

Die von mir entwickelten Skripte sind für die Verwendung mit Crowdstrike Endpoint Detection and Response (EDR) gedacht. Im Wesentlichen sind es Cloud-Skripte, um Geräte mit einem einzigen Klick aus der Ferne schnell zu bereinigen.

Warum diese Skripte erstellen?

Der Zweck meiner Skripte ist es, einem SOC- oder Incident-Response-Analysten bei seiner Untersuchung zu helfen. Einige Skripte unterstützen bei der Bereinigung einer bestimmten unerwünschten Software/Adware. Andere Skripte unterstützen bei der Untersuchung eines bestimmten Systems anhand des Benutzernamens, um mehr Sichtbarkeit zu schaffen.

Inhaltsverzeichnis

Manuelle Cloud-Skripte

• WinInspect - WinInspect ist ein leichtgewichtiges Tool, das einen Analysten dabei unterstützt, basierend auf einem Ziel-Benutzernamen mehr Sichtbarkeit in ein Windows-System zu bringen.
• MACInspect - MACInspect ist ein leichtgewichtiges Tool, das einen Analysten dabei unterstützt, basierend auf einem Ziel-Benutzernamen mehr Sichtbarkeit in ein MAC-System zu bringen.
• LinInspect - LinInspect ist ein leichtgewichtiges Tool, das einen Analysten dabei unterstützt, basierend auf einem Ziel-Benutzernamen mehr Sichtbarkeit in ein Linux-System zu bringen.
• EnumChromeExt - EnumChromeExt ruft Chrome-Erweiterungen ab und versucht automatisch, den Namen zu ermitteln.
• Win-PortScanner - Win-PortScanner ist ein extrem leichter Portscanner.
• ScanDll - ScanDll ist ein Tool, das hilft, Prozesse nach einer bestimmten dynamischen Linkbibliothek zu durchsuchen.
• ScanDllv2 - ScanDllv2 ist ein Tool, das entwickelt wurde, um Prozesse nach einer bestimmten dynamischen Linkbibliothek mit C# zu durchsuchen. Es ist deutlich schneller als ScanDll, aber die Ausgabe wird aufgrund von Problemen mit der Standardausgabeanzeige in der CrowdStrike RTR UI in eine Protokolldatei geschrieben.
• RegScanner - Ein erstaunlich schnelles Tool, das entwickelt wurde, um mithilfe eines eindeutigen Schlüsselworts nach einem Registrierungsschlüssel oder -wert zu suchen.
• Win-DiskImage-Toolkit - Ein einfaches Tool, um ein Datenträgerabbild schnell aufzuzählen oder auszuhängen.
• ScreenConnect-C2Extractor - ScreenConnect-C2Extractor ruft das C2 aus der user.config von ScreenConnect, auch bekannt als ConnectWise Client, ab.
• Win-PacketCapture - Ein geführtes Skript zur Erzeugung eines Paketdumps für die Analyse.
• EvidenceCollection - Dieses Skript sammelt gängige Benutzerdokumenttypen – wie Word-Dateien, Excel-Tabellen, Textdateien, PDFs und E-Mails – aus den Verzeichnissen Downloads, Dokumente und Desktop eines angegebenen Benutzers. Es erstellt automatisch das Verzeichnis C:\temp\SIRT (falls es noch nicht existiert) und kopiert alle passenden Dateien an diesen Ort für eine zentrale Überprüfung, Beweissicherung oder Incident-Untersuchung. Die Dateitypen, Verzeichnisse und der Benutzername können an die Anforderungen des Falls angepasst werden.
• Win-DmpEventLogs - Win-DmpEventLogs ist ein äußerst nützliches Forensik-Tool, mit dem Sie Windows-Ereignisprotokolle innerhalb eines angegebenen Zeitraums ausgeben können: 1 = last 24 hours, 7 = last week, 30 = last month, 0 = all events.. Es wurden grundlegende Regeln implementiert, um die Identifizierung zu unterstützen.
• Win-EnumVsCodeExtension - Dieses PowerShell-Skript zählt die installierten Visual Studio Code-Erweiterungen für ein angegebenes Benutzerkonto auf, indem es die VS Code-Erweiterungsverzeichnisse untersucht und die Metadatendatei package.json jeder Erweiterung analysiert.
• Win-datebased_filehunt – Dieses PowerShell-Skript verwendet eingebetteten C#-Code, um das Laufwerk C:\ rekursiv nach Dateien zu durchsuchen, die an einem bestimmten Datum geändert wurden. Es protokolliert alle übereinstimmenden Dateien, einschließlich ihres vollständigen Pfads, des Zeitstempels der letzten Änderung und der Dateigröße, in einer Protokolldatei unter C:\Windows\Temp\hunter_log_results.log.
• Win-TokenImpersonateExec – Dieses Skript ermöglicht Analysten, Befehle im Sicherheitskontext eines angegebenen Benutzers auszuführen, indem sie das Zugriffstoken des Benutzers nutzen. Bitte verwenden Sie dieses Skript nur, wenn es notwendig ist. Da es Befehle im Sicherheitskontext eines Zielbenutzers ausführt, sollte es Situationen vorbehalten bleiben, in denen benutzerspezifische Artefakte, Einstellungen oder Daten gesammelt werden müssen und nicht über standardmäßigen administrativen oder SYSTEM-Zugriff beschafft werden können.
• Win-EnumLockedFile – Dieses Skript nutzt die Windows Restart Manager API, um Prozesse zu identifizieren, die derzeit eine angegebene Datei geöffnet oder gesperrt haben.

Sonstige Skripte oder Dienstprogramme