ir-rescue ha sido escrito para analistas de respuesta a incidentes y forenses, así como para profesionales de seguridad, y se utiliza en empresas como Cisco, PepsiCo, SaskTel, Praetorian y Counteractive Security. Representa un esfuerzo por agilizar la recopilación de datos del host, independientemente de las necesidades de investigación, y depender menos del soporte en el sitio cuando el acceso remoto o el análisis en vivo no están disponibles. Por lo tanto, puede utilizarse para aprovechar las herramientas y comandos ya incluidos durante las actividades forenses.

Dependencias y Uso

ir-rescue depende de varias utilidades de terceros para recopilar datos específicos de los hosts. Las versiones de las herramientas se enumeran en la última sección y se proporcionan con el paquete tal cual, por lo que sus licencias y acuerdos de usuario deben aceptarse antes de ejecutar ir-rescue. Tenga en cuenta que las utilidades de Sysinternals no se pueden redistribuir para que otros las copien según los Términos de Licencia de Software de Sysinternals. Debido a esto, ir-rescue ya no se publica junto con las utilidades de Sysinternals, por lo que todas las entradas enumeradas en la sección Lista de Herramientas de Terceros y Referencias deben descargarse del Repositorio en Vivo de Sysinternals y moverse a sus carpetas correspondientes para que el script funcione.

A continuación se presentan las descripciones y la organización del conjunto de herramientas, con versiones de 32 y 64 bits de las herramientas de Windows incluidas en carpetas adyacentes, si corresponde:

• tools-nix/: carpeta de herramientas de terceros para ir-rescue-nix:
  • ascii/: archivos de arte ASCII en formato *.txt;
  • cfg/: archivos de configuración:
    • ir-rescue-nix.conf: archivo de configuración principal para ir-rescue-nix;
    • nonrecursive-(hidden|md5sum).txt: archivos ocultos y ubicaciones no recursivas de md5sum;
    • nonrecursive.txt: ubicaciones no recursivas para múltiples herramientas;
    • recursive-(exec|hidden|md5sum).txt: ejecutables, archivos ocultos y ubicaciones recursivas de md5sum;
    • recursive.txt: ubicaciones recursivas para múltiples herramientas;
  • mem/: herramientas de memoria:
    • AVML-0.21 (ELF de 64 bits): vuelca la memoria;
• tools-win\: carpeta de herramientas de terceros para ir-rescue-win:
  • activ\: herramientas de análisis de artefactos de actividad de usuario y sistema;
    • exiftool.exe: analiza archivos de enlace (LNK);
    • JLECmd.exe: analiza listas de accesos directos de destinos automáticos y personalizados;
    • LastActivityView.exe: muestra una mini línea de tiempo de la actividad del usuario y del sistema, como inicios y cierres de sesión;
    • rifiuti-vista[64].exe: analiza archivos de la papelera de reciclaje;
    • USBDeview[64].exe: lista dispositivos USB conectados anteriormente y actualmente;
  • ascii\: archivos de arte ASCII en formato *.txt;
  • cfg\: archivos de configuración:
    • ir-rescue-win.conf: archivo de configuración principal de ir-rescue-win;
• data\: carpeta de datos creada durante la ejecución con los datos recopilados:
  • <HOSTNAME>-<DATE>\: <DATE> sigue el formato YYYYMMDD:
    • ir-rescue-win: carpeta para datos relacionados con ir-rescue
      • ir-rescue-win.log: archivo de registro detallado de mensajes de estado;
      • ir-rescue-win-global.log: archivo de registro global con comandos de ir-rescue-win ejecutados anteriormente;
      • screenshot-#: capturas de pantalla numeradas solo para ir-rescue-win;
    • carpetas nombradas según el tipo de dato establecido para la recopilación.

ir-rescue-win debe ejecutarse en una consola de línea de comandos con derechos de administrador, mientras que ir-rescue-nix debe ejecutarse en una ventana de línea de comandos con privilegios de root. Ambos no requieren argumentos y utilizan un archivo de configuración respectivo para establecer las opciones deseadas. Por lo tanto, la ejecución de los scripts simplemente requiere invocar los archivos de la siguiente manera:

• ir-rescue-win-v1.w.x.bat, o
• ./ir-rescue-nix-v1.y.z.sh.

Algunas herramientas que realizan búsquedas o escaneos recursivos están configuradas solo para recurrir en carpetas específicas. Esto hace que la recopilación de datos sea más dirigida, teniendo en cuenta el rendimiento en tiempo de ejecución, ya que las carpetas especificadas son ubicaciones probables para el análisis debido al uso extensivo por parte del malware. Las ubicaciones para la búsqueda recursiva y la búsqueda no recursiva para sistemas Windows y Unix se pueden cambiar libremente en los archivos de texto respectivos dentro de las carpetas de configuración. Algunas herramientas tienen archivos dedicados con ubicaciones específicas en las que recurrir o no. Estos se denominan recursive-<tool>.txt y nonrecursive-<tool>.txt, donde <tool> se reemplaza por el nombre de la herramienta. Cada archivo debe tener una ubicación como ruta completa por línea sin barras invertidas ni diagonales al final.

Durante la ejecución, todos los caracteres impresos en los canales de Salida Estándar (STDOUT) y Error Estándar (STDERR) se registran en archivos de texto codificados en UTF-8. Esto significa que la salida de las herramientas se almacena en carpetas y archivos de texto correspondientes. Los mensajes de estado ASCII todavía se imprimen en la consola para verificar el progreso de la ejecución. Se utiliza una carpeta temporal creada en %TEMP%\ir-rescue-win o /tmp/ir-rescue-nix para almacenar datos en tiempo de ejecución (p. ej., controladores de volcado de memoria y enlaces a copias VSS) y se elimina al finalizar. Las carpetas de datos se crean como marcadores de posición durante la inicialización. Después de la recopilación, las carpetas vacías pueden eliminarse si no se recopilaron datos (p. ej., caché de navegador vacía). Al final, los datos se comprimen en un archivo protegido por contraseña y se eliminan posteriormente, si está configurado para hacerlo.

Archivo de Configuración

El archivo de configuración de ir-rescue-win y ir-rescue-nix está compuesto principalmente por directivas binarias simples (true o false) para el comportamiento general de los scripts, qué tipos de datos recopilar y qué herramientas avanzadas ejecutar. Las líneas precedidas por un signo de almohadilla (#) se consideran comentarios. Estos se utilizan para describir brevemente lo que hace cada opción, enumerar carpetas, archivos o claves de registro importantes para proporcionar algo de contexto, así como para listar herramientas relevantes. Las descripciones a continuación se aplican solo a ir-rescue-win, pero sirven como ejemplo para comprender el enfoque general y el archivo de configuración de ir-rescue-nix.

Para ir-rescue-win, los datos se agrupan en los tipos dados por las siguientes directivas:

• activity: esta opción establece la recopilación de datos de actividad del usuario;
• disk: esta opción establece la recopilación de datos de disco;
• events: esta opción establece la recopilación de registros de eventos de Windows;
• filesystem: esta opción establece la recopilación de datos relacionados con NTFS y archivos;
• malware: esta opción establece la recopilación de datos del sistema que pueden usarse para detectar malware;
• memory: esta opción establece la recopilación de la memoria;
• network: esta opción establece la recopilación de datos de red;
• registry: esta opción establece la recopilación del registro del sistema y del usuario;
• system: esta opción establece la recopilación de información relacionada con el sistema;
• web: esta opción establece la recopilación del historial de navegación y las cachés.

Por un lado, el uso de herramientas avanzadas establecidas por las opciones sigcheck, density, iconsext y yara es independiente de las configuraciones realizadas para la recopilación de tipos de datos. Por otro lado, las directivas bajo las opciones principales respectivas de los tipos de datos están vinculadas a ellas, lo que significa que se ignoran si las principales están configuradas como false. Por ejemplo, memory-dump=true, la opción que indica a la herramienta que vuelque la Memoria de Acceso Aleatorio (RAM), se ignora si memory=false. Lo mismo ocurre con la opción <option>-all, que establece todas las opciones de un determinado tipo de dato en true por conveniencia, excepto <option>-vss. El script admite la recuperación de datos de todas las copias VSS disponibles mediante la creación de enlaces duros a las copias a través del espacio de nombres del kernel de Windows, una función que se puede activar con vss=true. Cada una de las opciones principales tiene su propia opción <option>-vss, que habilita o deshabilita la adquisición de datos VSS para ese tipo de dato en particular. Tenga en cuenta que los datos recopilados por las opciones malware-startup y web-(chrome|ie|mozilla) también están protegidos con contraseña, siendo la contraseña "infected" sin comillas. Todas las opciones no encontradas o comentadas en el archivo de configuración se establecen como false durante la ejecución, incluida la contraseña para el archivo comprimido final.

Tenga en cuenta además que la opción iconsext es útil para buscar binarios compilados con marcos inusuales que establecen iconos PE (p. ej., Python). Además, las reglas YARA deben tener una extensión de archivo *.yar y colocarse en la carpeta tools-win\yara\rules\. La salida de todas las herramientas avanzadas se almacena en la carpeta resultante malware.

A continuación se muestra un ejemplo mínimo del archivo de configuración que establece la recopilación de la RAM, incluida la memoria paginada en vivo e histórica, el registro del sistema y los registros de eventos de Windows en formato de texto, así como la compresión de la carpeta de datos final con la contraseña "infected" (sin comillas). Tenga en cuenta que esta configuración omite la recopilación de archivos de registro del sistema históricos.```

ir-rescue-win configuration file

accepted values: 'true' or 'false' (exclusive)

general

killself=false sdelete=false zip=true zpassword=infected ascii=false

modules

events=true memory=true registry=true

vss=true

events

events-all=false events-txt=true

memory

memory-all=false memory-vss=true memory-dump=true memory-pagefile=true

registry

registry-all=false registry-vss=false registry-system=true