Meerkat

Meerkat est un ensemble de modules PowerShell conçus pour la collecte d'artefacts et la reconnaissance de postes de travail Windows sans nécessiter d'agent pré-déployé. Les cas d'utilisation incluent le triage des incidents, la chasse aux menaces, la surveillance de référence, les comparaisons d'instantanés, etc.

Artefacts

• Ingérez avec votre SIEM de choix (Consultez le dépôt SIEM !)

Sommaire

• Démarrage rapide
• Utilisation
• Analyse
• Dépannage
• Captures d'écran
• Projets similaires

Démarrage rapide

Prérequis

• Nécessite PowerShell 5.0 ou supérieur sur l'appareil de « scan ».
• Nécessite PowerShell 3.0 ou supérieur sur les systèmes cibles. Vous pouvez le rendre rétrocompatible avec PowerShell 2.0 en remplaçant les occurrences de « Get-CIMinstance » par « Get-WMIObject ».
• Nécessite un accès WinRM.

Installation avec Git

Dans une console de commande ou PowerShell, tapez ce qui suit...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

Pour mettre à jour...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

Installation avec PowerShell

Copiez/collez ceci dans une console PowerShell

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

Pour mettre à jour, exécutez simplement le même bloc de commandes à nouveau.

Les fonctions peuvent également être utilisées en ouvrant le fichier .psm1 et en copiant-collant tout son contenu dans une console PowerSell.

Exécuter Meerkat

Cette commande produira les résultats dans C:\Users\YourName\Meerkat\

Invoke-Meerkat

NOTE : Les modules suivants ne retourneront pas de résultats s'ils ne sont pas exécutés avec des privilèges d'administrateur

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

Analyse

Les méthodologies et techniques d'analyse sont fournies dans les pages Wiki.

Dépannage

Installation d'un module PowerShell

Si votre système ne charge pas automatiquement les modules dans votre profil, vous devrez peut-être importer le module manuellement.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

Il est recommandé d'adopter l'approche suivante pour aider à localiser le problème réel.

TEST 1 – MEERKAT FONCTIONNE-T-IL LOCALEMENT ?

• Testez Meerkat sur le système local
  • Invoke-Meerkat

TEST 2 – LE SCAN À DISTANCE FONCTIONNE-T-IL ?

Note : Effectuez ce test avec un compte disposant de droits d'administrateur local sur le système cible.

• Testez Meerkat sur un système Windows distant
  • Invoke-Meerkat -Computer RemoteName

TEST 3 – POUVEZ-VOUS CRÉER LA TÂCHE PLANIFIÉE ET LE MSA ?

• Supprimez toutes les tâches planifiées existantes liées à Meerkat
• Supprimez tous les MSA liés à Meerkat
• Configurez le fichier Schedule-Meerkat.ps1, puis exécutez-le.

TEST 4 – MEERKAT-TASK.PS1 FONCTIONNE-T-IL ?

Note : Effectuez ce test avec un compte disposant de droits d'administrateur local sur le système cible.

• Configurez le fichier Meerkat-Task.ps1 avec # OPTION 1 (hôte local)
• Exécutez le script manuellement.

TEST 5 – LA TÂCHE PLANIFIÉE ET LE MSA FONCTIONNENT-ILS ?

• Exécutez le script Meerkat-Task.ps1 via les tâches planifiées.

Si cela échoue :

• Assurez-vous que WinRM est activé sur l'hôte distant
• Assurez-vous que le MSA dispose des droits d'administrateur local sur l'hôte distant

TEST 6 – MEERKAT-TASK.PS1 FONCTIONNE-T-IL À DISTANCE ?

• Configurez le fichier Meerkat-Daily-Task.ps1 avec # OPTION 3 (hôte distant, quotidien)
  • Spécifiez un hôte distant dans hosts.txt
  • Exécutez le script manuellement avec un compte disposant de droits d'administrateur local sur le système distant.

TEST 7 – LE MSA A-T-IL LES BONNES PERMISSIONS SUR LES HÔTES DISTANTS ?

• Configurez le fichier Meerkat-Task.ps1 avec # OPTION 3 (hôte distant, quotidien)
  • Spécifiez un hôte distant dans hosts.txt
  • Exécutez le script Meerkat-Task.ps1 via les tâches planifiées.

TEST 8 – TOUT FONCTIONNE-T-IL MAINTENANT ?

• Configurez le fichier Meerkat-Task.ps1 avec # OPTION 2 (scan de domaine entièrement automatisé)
  • Exécutez le script manuellement avec un compte disposant de droits d'administrateur local sur le système distant.
  • Exécutez le script Meerkat-Task.ps1 via les tâches planifiées.

Ajout d'un nouveau module

• Créez le nouveau fichier .psm1, de préférence en copiant un module existant avec une logique suffisamment similaire et en l'utilisant comme point de départ.
  • Mettez à jour le nom du module
  • À l'aide de rechercher et remplacer, remplacez toutes les occurrences du nom du modèle
  • Mettez à jour les sections Synopsis, Description, Paramètres, Exemples et Remarques
  • Remplacez la logique process{} par la nouvelle logique. Assurez-vous qu'elle retourne un tableau d'objets PowerShell correspondants.
  • Enregistrez le module avec un nom approprié.
• Ajoutez le nom du nouveau module à Meerkat.psd1. Cela peut être fait manuellement ou en exécutant /Utilities/Generate-ModuleManifest.ps1
• Ajoutez le nouveau module au tableau dans ce README.md
  • Ajoutez-le au tableau des artefacts.
• Ajoutez le nouveau module à Invoke-Meerkat.psm1
  • Ajoutez au paramètre m/mod/modules, incluant à la fois le ValidateSet et le tableau $Modules lui-même.
  • Dans begin{}, ajoutez à $ModuleCommandArray
  • Dans begin{}, ajoutez au bloc de code if ($All) {}
  • Si le module prend plus de quelques secondes, ajoutez-le également au bloc de code if ($Quick) {. Cela l'empêche de s'exécuter lorsque l'utilisateur invoque -Fast

Captures d'écran

Résultat de la commande "Invoke-Meerkat"

Fichiers de sortie

Projets similaires

• https://github.com/travisfoley/dfirtriage
• https://github.com/Invoke-IR/PowerForensics
• https://github.com/PowerShellMafia/CimSweep
• https://www.crowdstrike.com/resources/community-tools/crowdresponse/
• https://github.com/gfoss/PSRecon/
• https://github.com/n3l5/irCRpull
• https://github.com/davehull/Kansa/
• https://github.com/WiredPulse/PoSh-R2
• https://github.com/google/grr
• https://github.com/diogo-fernan/ir-rescue
• https://github.com/SekoiaLab/Fastir_Collector
• https://github.com/AlmCo/Panorama
• https://github.com/certsocietegenerale/FIR
• https://github.com/securycore/Get-Baseline
• https://github.com/Infocyte/PSHunt
• https://github.com/giMini/NOAH
• https://github.com/A-mIn3/WINspect
• https://learn.duffandphelps.com/kape
• https://www.brimorlabs.com/tools/

Qu'est-ce qui distingue Meerkat ?

• Léger. Tient sur une disquette !
• Très faible empreinte/impact sur les cibles.
• Exploite PowerShell et WMI/CIM.
• Le style de codage encourage une revue de code appropriée, l'apprentissage et le « prêt ».
• Pas de DLL ou de composants compilés.
• Sortie standardisée - par défaut en .csv, et peut facilement supporter json, xml, etc.