श्री. कपलान

विवरण

MrKaplan एक उपकरण है जिसका उद्देश्य रेड टीम के सदस्यों को निष्पादन के सबूतों को साफ करके छिपे रहने में मदद करना है। यह जानकारी जैसे कि यह कब चला, फ़ाइलों का स्नैपशॉट और प्रत्येक सबूत को संबंधित उपयोगकर्ता से जोड़ता है।

यह उपकरण MoonWalk से प्रेरित है, जो यूनिक्स मशीनों के लिए एक समान उपकरण है।

आप इसके बारे में विकी पेज पर अधिक पढ़ सकते हैं।

विशेषताएं

• इवेंट लॉगिंग को रोकना।
• फ़ाइल कलाकृतियों को साफ करना।
• रजिस्ट्री कलाकृतियों को साफ करना।
• कई उपयोगकर्ताओं के लिए चल सकता है।
• उपयोगकर्ता और व्यवस्थापक के रूप में चल सकता है (व्यवस्थापक के रूप में चलाने की अत्यधिक अनुशंसा की जाती है)।
• फ़ाइलों की टाइमस्टैम्प सहेज सकता है।
• कुछ कार्यों को बाहर कर सकता है और नीली टीमों के लिए कलाकृतियाँ छोड़ सकता है।

उपयोग

• कंप्यूटर पर अपने कार्य शुरू करने से पहले, MrKaplan को begin फ्लैग के साथ चलाएँ और जब आप समाप्त करें तो इसे end फ्लैग के साथ फिर से चलाएँ।
• जब तक आप end फ्लैग के साथ पुनः चलाएँ, तब तक MrKaplan-Config.json फ़ाइल को न हटाएँ, अन्यथा MrKaplan जानकारी का उपयोग नहीं कर पाएगा।

IOCs

• विकी पेज पर उल्लिखित कलाकृतियों तक पहुँचने वाली PowerShell प्रक्रिया।

• अजीब base64 ब्लॉब आयात करने वाली PowerShell।

• टोकन हेरफेर करने वाली PowerShell प्रक्रिया।

• MrKaplan की रजिस्ट्री कुंजी: HKCU:\Software\MrKaplan।

आभार

• PowerSploit

• Phant0m

• ForensicArtifacts

अस्वीकरण

मैं किसी भी तरह से आपके कंप्यूटर/प्रोग्राम को होने वाली किसी भी प्रकार की क्षति के लिए जिम्मेदार नहीं हूँ जो इस परियोजना के कारण होती है। मैं खुशी-खुशी योगदान स्वीकार करता हूँ, एक पुल रिक्वेस्ट बनाएँ और मैं इसकी समीक्षा करूँगा!