Introducción

Desde 2021, he desarrollado una serie de scripts para ayudarme en mis investigaciones y labores de remediación. Pensé, ¿por qué no compartirlos con el público, con la esperanza de que te resulten útiles?

¿Cómo funcionan estos scripts?

Los scripts que desarrollé están pensados para funcionar con Crowdstrike Endpoint Detection and Response (EDR). Esencialmente, scripts en la nube para remediar dispositivos de forma remota rápidamente con un solo clic de botón.

¿Por qué crear estos scripts?

El propósito de mis scripts es ayudar a un analista de SOC o de Respuesta a Incidentes en su investigación. Algunos scripts ayudan con la remediación de un software/adware no deseado en particular. Otros scripts ayudan a investigar un sistema concreto por nombre de usuario para proporcionar mayor visibilidad.

Tabla de contenido

Scripts manuales en la nube

• WinInspect - WinInspect es una herramienta ligera para ayudar a un analista a proporcionar una mayor visibilidad sobre un sistema Windows basándose en un nombre de usuario objetivo.
• MACInspect - MACInspect es una herramienta ligera para ayudar a un analista a proporcionar una mayor visibilidad sobre un sistema MAC basándose en un nombre de usuario objetivo.
• LinInspect - LinInspect es una herramienta ligera para ayudar a un analista a proporcionar una mayor visibilidad sobre un sistema Linux basándose en un nombre de usuario objetivo.
• EnumChromeExt - EnumChromeExt recupera las extensiones de Chrome e intenta detectar automáticamente el nombre.
• Win-PortScanner - Win-PortScanner es un escáner de puertos extremadamente ligero.
• ScanDll - ScanDll es una herramienta para ayudar a buscar en los procesos una biblioteca de vínculos dinámicos concreta.
• ScanDllv2 - ScanDllv2 es una herramienta diseñada para buscar en los procesos una biblioteca de vínculos dinámicos específica usando C#. Es mucho más rápida que ScanDll, pero la salida se escribe en un archivo de registro debido a problemas con la visualización de la salida estándar en la interfaz de CrowdStrike RTR.
• RegScanner - Una herramienta sorprendentemente rápida diseñada para buscar una clave o valor del registro usando una palabra clave única.
• Win-DiskImage-Toolkit - Una herramienta sencilla para enumerar o desmontar rápidamente una imagen de disco.
• ScreenConnect-C2Extractor - ScreenConnect-C2Extractor recupera el C2 del user.config de ScreenConnect, también conocido como ConnectWise Client.
• Win-PacketCapture - Un script guiado para generar una captura de paquetes para su análisis.
• EvidenceCollection - Este script recopila tipos comunes de documentos de usuario —como archivos de Word, hojas de cálculo de Excel, archivos de texto, PDF y correos electrónicos— de los directorios Downloads, Documents y Desktop de un usuario especificado. Crea automáticamente el directorio C:\temp\SIRT (si aún no existe) y copia todos los archivos coincidentes en esa ubicación para su revisión centralizada, preservación de evidencias o investigación de incidentes. Los tipos de archivo, los directorios y el nombre de usuario se pueden personalizar para adaptarse a las necesidades del caso.
• Win-DmpEventLogs - Win-DmpEventLogs es una herramienta forense extremadamente útil que permite volcar los registros de eventos de Windows dentro de un rango de tiempo especificado: 1 = last 24 hours, 7 = last week, 30 = last month, 0 = all events.. Se han implementado reglas básicas para ayudar en la identificación.
• Win-EnumVsCodeExtension - Este script de PowerShell enumera las extensiones de Visual Studio Code instaladas para una cuenta de usuario especificada inspeccionando los directorios de extensiones de VS Code y analizando el archivo de metadatos package.json de cada extensión.
• Win-datebased_filehunt - Este script de PowerShell utiliza código C# embebido para buscar recursivamente en la unidad C:\ los archivos que fueron modificados en una fecha específica. Registra todos los archivos coincidentes, incluida su ruta completa, la marca de tiempo de última modificación y el tamaño del archivo, en un archivo de registro ubicado en C:\Windows\Temp\hunter_log_results.log.
• Win-TokenImpersonateExec - Este script permite a los analistas ejecutar comandos dentro del contexto de seguridad de un usuario especificado aprovechando el token de acceso del usuario. Utilice este script solo cuando sea necesario. Dado que ejecuta comandos dentro del contexto de seguridad de un usuario objetivo, debe reservarse para situaciones en las que deban recopilarse artefactos, configuraciones o datos específicos del usuario y no puedan obtenerse mediante acceso administrativo estándar o a nivel de SYSTEM.
• Win-EnumLockedFile - Este script aprovecha la API Restart Manager de Windows para identificar los procesos que actualmente tienen abierto o bloqueado un archivo especificado.

Scripts o utilidades misceláneos