Forensia

Outil anti-forensique pour les Red Teamers, utilisé pour effacer certaines traces dans la phase de post-exploitation.

Réduit l'épuisement des payloads et augmente le décompte de détection. Peut être utilisé pour tester les capacités de vos équipes de réponse aux incidents / forensique.

Capacités

• Déchargement du pilote Sysmon.
• Déchiquetage de fichiers selon la méthode Gutmann.
• Désactivation de USNJrnl.
• Désactivation de Prefetch.
• Effaceur de journaux et désactivation du journal des événements.
• Désactivation du temps de mise à jour User Assist.
• Désactivation du temps d'accès.
• Effacer les éléments récents
• Effacer le cache Shim
• Effacer le cache des fichiers récents
• Effacer ShellBag
• Supprimer les fichiers de quarantaine de Windows Defender
• Capacités de fusion de fichiers.

Mise à jour importante

Ajouté :

• Effacer les éléments récents
• Effacer le cache Shim
• Effacer le cache des fichiers récents
• Effacer ShellBag
• Effacer les fichiers de quarantaine

À FAIRE

• Exécution de USNJrnl sur tous les disques.

• Réécriture de l'espace non alloué.

• Un peu de polissage.

Crédits

https://github.com/Naranbataar/Corrupt

https://github.com/LloydLabs/delete-self-poc

https://github.com/OsandaMalith/WindowsInternals/blob/master/Unload_Minifilter.c

https://stackoverflow.com/users/15168/jonathan-leffler

https://github.com/GiovanniDicanio/WinReg