Meerkat

Meerkat est un ensemble de modules PowerShell conçus pour la collecte d'artefacts et la reconnaissance de postes de travail Windows sans nécessiter d'agent pré-déployé. Les cas d'utilisation incluent le triage des incidents, la chasse aux menaces, la surveillance de référence, les comparaisons d'instantanés, etc.

Artefacts

Infos Hôte	Adaptateurs réseau	Processus*	Services	Fichiers
Politique d'audit	Règles du pare-feu Windows	DLLs*	Utilisateurs locaux	ADS
Disques	Ports	Chaînes*	Groupes locaux	Corbeille
Correctifs	ARP	Handles*	Tâches planifiées	Fichier Hosts
TPM	DNS	Variables d'environnement	Démarrages automatiques	Certificats
Logiciels	Routes réseau	Sessions	BitLocker	Sélection du registre
Matériel	Partages	Informations de domaine	Defender	Journaux d'événements
Pilotes		Historique USB	Métadonnées des journaux d'événements	Événements liés aux échecs de connexion
				Événements liés à la gestion des utilisateurs/groupes
				Métadonnées des journaux d'événements

• Ingérez avec votre SIEM de choix (Consultez le dépôt SIEM !)

---

Sommaire

• Démarrage rapide
• Utilisation
• Analyse
• Dépannage
• Captures d'écran
• Projets similaires

---

Démarrage rapide

Prérequis

• Nécessite PowerShell 5.0 ou supérieur sur l'appareil de « scan ».
• Nécessite PowerShell 3.0 ou supérieur sur les systèmes cibles. Vous pouvez le rendre rétrocompatible avec PowerShell 2.0 en remplaçant les occurrences de « Get-CIMinstance » par « Get-WMIObject ».
• Nécessite un accès WinRM.

Installation avec Git

Dans une console de commande ou PowerShell, tapez ce qui suit...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

Pour mettre à jour...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

Installation avec PowerShell

Copiez/collez ceci dans une console PowerShell

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

Pour mettre à jour, exécutez simplement le même bloc de commandes à nouveau.

Les fonctions peuvent également être utilisées en ouvrant le fichier .psm1 et en copiant-collant tout son contenu dans une console PowerSell.

Exécuter Meerkat

Cette commande produira les résultats dans C:\Users\YourName\Meerkat\

Invoke-Meerkat

NOTE : Les modules suivants ne retourneront pas de résultats s'ils ne sont pas exécutés avec des privilèges d'administrateur

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

Analyse

Les méthodologies et techniques d'analyse sont fournies dans les pages Wiki.

Dépannage

Installation d'un module PowerShell

Si votre système ne charge pas automatiquement les modules dans votre profil, vous devrez peut-être importer le module manuellement.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

Il est recommandé d'adopter l'approche suivante pour aider à localiser le problème réel.

TEST 1 – MEERKAT FONCTIONNE-T-IL LOCALEMENT ?

• Testez Meerkat sur le système local
  • Invoke-Meerkat

TEST 2 – LE SCAN À DISTANCE FONCTIONNE-T-IL ?

Note : Effectuez ce test avec un compte disposant de droits d'administrateur local sur le système cible.

• Testez Meerkat sur un système Windows distant
  • Invoke-Meerkat -Computer RemoteName