J'ai inclus 'knownprocesses.txt' comme exemple pour que les utilisateurs puissent observer le comportement de ce script avant de se lancer dans l'effort de rassembler la liste des processus « connus » dans leur environnement.

TrustedSec Tasklist BOF

Une petite modification est nécessaire sur le BOF tasklist de TrustedSec pour le rendre compatible avec ce script. J'ai dû essentiellement ajouter une balise « fin de BOF » à la sortie pour que le script Aggressor puisse identifier que le BOF a terminé d'envoyer des données et cesser d'essayer de lire/coder en couleur.

Je recommande de récupérer le package complet depuis leur dépôt, puis de modifier le BOF tasklist (CS-Situational-Awareness-BOF/src/SA/tasklist/entry.c) pour qu'il corresponde à celui que j'ai inclus ici. C'est nécessaire car le dépôt complet contient des fichiers d'aide/en-tête dont vous aurez besoin pour recompiler entry.c.

Limites

Cette méthodologie pour identifier une cohabitation potentielle est TRÈS limitée. Elle ne permettra pas, par exemple, d'identifier ou de détecter des choses comme :

1. L'injection de processus – où un malware a été injecté dans un processus légitime « connu » et s'exécute à l'intérieur.
2. Le DLL sideloading ou hijacking – où un malware a été chargé par un processus légitime « connu » en résidant dans une DLL que le processus charge/exécute.

Ce script sert à aider à attraper les « fruits à portée de main ».

Crédits

Merci à TrustedSec pour leur excellent dépôt BOF
L'inspiration et quelques extraits de code proviennent du ProcessColor.cna de harleyQu1nn