Ps-Tools, une boîte à outils avancée de surveillance des processus pour les opérations offensives.

Avoir une bonne compréhension technique des systèmes sur lesquels nous atterrissons lors d'un engagement est une condition clé pour décider de la prochaine étape d'une opération. La collecte et l'analyse des données des processus en cours d'exécution sur des systèmes compromis nous fournissent une mine d'informations et nous aident à mieux comprendre comment l'infrastructure informatique d'une organisation cible est configurée. De plus, l'interrogation périodique des données de processus nous permet de réagir aux changements dans l'environnement ou de fournir des déclencheurs lorsqu'une enquête est en cours.

Pour pouvoir collecter des données détaillées sur les processus à partir de terminaux compromis, nous avons écrit une collection d'outils de processus qui apporte la puissance de ces utilitaires de processus avancés aux frameworks C2 (tels que Cobalt Strike).

Plus d'informations sur les outils et les techniques utilisées se trouvent sur le blog suivant : https://outflank.nl/blog/2020/03/11/red-team-tactics-advanced-process-monitoring-techniques-in-offensive-operations/

Les fonctionnalités suivantes sont incluses dans la boîte à outils :

Psx: Shows a detailed list of all processes running on the system.
Psk: Shows detailed kernel information including loaded driver modules.
Psc: Shows a detailed list of all processes with Established TCP connections.
Psm: Show detailed module information from a specific process id (loaded modules, network connections e.g.).
Psh: Show detailed handle information from a specific process id (object handles, network connections e.g.).
Psw: Show Window titles from processes with active Windows.

Utilisation :

Download the Outflank-Ps-Tools folder and load the Ps-Tools.cna script within the Cobalt Strike Script Manager.
Use the Beacon help command to display syntax information.

This project is written in C/C++
You can use Visual Studio to compile the reflective dll's from source.

Crédits

Auteur : Cornelis de Plaa (@Cneelis) / Outflank

Un grand merci à : Stan Hegt (@StanHacked) et tous mes autres excellents collègues chez Outflank