Mr.Kaplan

Description

MrKaplan est un outil conçu pour aider les red teamers à rester discrets en effaçant les traces d'exécution. Il fonctionne en enregistrant des informations telles que l'heure d'exécution, un instantané des fichiers et en associant chaque preuve à l'utilisateur concerné.

Cet outil est inspiré de MoonWalk, un outil similaire pour les machines Unix.

Vous pouvez en apprendre plus sur la page wiki.

Fonctionnalités

Arrêter la journalisation des événements.
Effacer les artefacts de fichiers.
Effacer les artefacts du registre.
Peut être exécuté pour plusieurs utilisateurs.
Peut être exécuté en tant qu'utilisateur et en tant qu'administrateur (fortement recommandé de l'exécuter en tant qu'administrateur).
Peut sauvegarder les horodatages des fichiers.
Peut exclure certaines opérations et laisser des artefacts pour les blue teams.

Utilisation

Avant de commencer vos opérations sur l'ordinateur, exécutez MrKaplan avec le paramètre begin, puis à la fin, relancez-le avec le paramètre end.
NE SUPPRIMEZ PAS le fichier MrKaplan-Config.json avant de relancer avec le paramètre end, sinon MrKaplan ne pourra pas utiliser les informations.

IOC

Processus PowerShell qui accède aux artefacts mentionnés dans la page wiki.
Importation d'un blob base64 étrange par PowerShell.
Processus PowerShell effectuant une manipulation de jetons.
Clé de registre de MrKaplan : HKCU:\Software\MrKaplan.

Remerciements

Avertissement

Je ne suis en aucun cas responsable de tout type de dommage causé à votre ordinateur/programme suite à l'utilisation de ce projet. J'accepte volontiers les contributions ; faites une pull request et je la réviserai !

MrKaplan

Populaires