मैं चुराए गए डेटा की खोज के आधार पर कोई भी नया कोड जोड़ना या मौजूदा कोड को संशोधित करना जारी रखूंगा

यदि आप समझौता कर चुके हैं, तो ये स्क्रिप्ट किसी भी तरह से आपके लिए इसे ठीक नहीं करेंगी! ये आपको केवल यह जानने का लाभ प्रदान करते हैं कि आपके सिस्टम के साथ क्या हुआ है।

ऐसा कहने के बाद, मैं यहाँ उन स्क्रिप्ट्स को जोड़ता रहूँगा जिनका उपयोग हम अपने शोध में कर रहे हैं कि सिस्टम से कौन सा डेटा चुराया गया हो सकता है।

उपयोगी लिंक

1. https://www.bleepingcomputer.com/news/security/microsofts-msert-tool-now-finds-web-shells-from-exchange-server-attacks/
2. https://krebsonsecurity.com/2021/03/at-least-30000-u-s-organizations-newly-hacked-via-holes-in-microsofts-email-software/
3. https://www.huntress.com/blog/rapid-response-mass-exploitation-of-on-prem-exchange-servers
4. https://proxylogon.com/

CVE-2021-27065

वेबशेल, संभावित ज़िप, और लॉग का पता लगाने के लिए त्वरित एक-लाइन पावरशेल स्क्रिप्ट। प्रत्येक स्क्रिप्ट चलाने के बाद, C: ड्राइव के रूट पर temp फ़ोल्डर में स्थित एक CSV में आउटपुट देगी।

त्वरित कोड स्पष्टीकरण:

CompedFiles.ps1

1. यह निर्दिष्ट पथ से शुरू होगा
2. प्रत्येक फ़ोल्डर में जाकर उसके अंदर की फ़ाइलों को खोजेगा
3. यह प्रत्येक फ़ाइल की जाँच करेगा कि उसमें पैटर्न "\w*://\w/<\w*\s.<.>" मौजूद है या नहीं
4. प्रत्येक मिलान के लिए, यह फ़ाइल का पथ और फ़ाइल में वह पंक्ति चुनेगा जहाँ यह मिला
5. चयन के बाद, यह उसे C: ड्राइव के रूट पर temp फ़ोल्डर में स्थित CSV में लिखेगा

LogChecker

1. यह निर्दिष्ट पथ से शुरू होगा
2. प्रत्येक फ़ोल्डर में जाकर उसके अंदर की फ़ाइलों को खोजेगा
3. प्रत्येक फ़ाइल की जाँच करेगा कि उसमें पैटर्न "Set-OabVirtualDirectory" मौजूद है या नहीं
   1. यह हमारी इच्छा से अधिक परिणाम दे सकता है - लेकिन फिलहाल यह मेरे पास सबसे अच्छा तरीका है
4. प्रत्येक मिलान के लिए, यह फ़ाइल का पथ और फ़ाइल में वह पंक्ति चुनेगा जहाँ यह मिला
5. चयन के बाद, यह उसे C: ड्राइव के रूट पर temp फ़ोल्डर में स्थित CSV में लिखेगा

PossibleExfil

1. C: ड्राइव के रूट से शुरू करना
2. यह हर निर्देशिका में उन फ़ाइलों की खोज करेगा जिनका एक्सटेंशन zip या tar या gzip या 7z या rar या dmp है
   1. zip - उन फ़ाइलों के लिए जिन्हें ज़िप करके सर्वर से निकाला गया होगा
   2. tar - उन फ़ोल्डरों के लिए जिन्हें टार करके सर्वर से निकाला गया होगा
   3. gzip - उन फ़ाइलों के लिए जिन्हें gzip करके सर्वर से निकाला गया होगा
   4. 7z - उन फ़ाइलों के लिए जिन्हें 7z करके सर्वर से निकाला गया होगा
   5. rar - उन फ़ाइलों के लिए जिन्हें rar करके सर्वर से निकाला गया होगा
   6. dmp - किसी भी संभावित प्रक्रिया डंप के लिए
3. बेशक यह आपकी आवश्यकता से कहीं अधिक परिणाम लाएगा
4. यह C: ड्राइव के रूट पर temp फ़ोल्डर में एक CSV में आउटपुट होगा
   1. अच्छी बात यह है कि चूँकि यह CSV फ़ाइल में है, हम तिथि के अनुसार सॉर्ट कर सकते हैं
      1. हमारी जाँच में पिछले साल के सितंबर तक की कोई भी चीज़ शामिल थी - क्योंकि पिछले साल के अक्टूबर से रिपोर्ट मिल रही थी

Get AdUsers / Groups

1. ये AD ग्रुप और AD उपयोगकर्ताओं को क्वेरी करेंगे
2. इसका उपयोग करके आप बता पाएंगे कि क्या हैकर्स ने किसी AD ग्रुप में बदलाव किया है या कोई नया एडमिन उपयोगकर्ता बनाया है
3. यह C: ड्राइव के रूट पर temp फ़ोल्डर में एक CSV में आउटपुट होगा