Invoke-EDRChecker

स्क्रिप्ट चल रही प्रक्रियाओं, प्रक्रिया मेटाडेटा, आपकी वर्तमान प्रक्रिया में लोड किए गए DLLs और प्रत्येक DLL के मेटाडेटा, सामान्य इंस्टॉल निर्देशिकाओं, इंस्टॉल की गई सेवाओं, रजिस्ट्री और चल रहे ड्राइवरों की जाँच करेगी ताकि ज्ञात डिफेंसिव उत्पादों जैसे AV, EDR और लॉगिंग टूल्स की उपस्थिति का पता लगाया जा सके।

यह स्क्रिप्ट आपके C2 सर्वर में भी लोड की जा सकती है, उदाहरण के लिए PoshC2 में, स्क्रिप्ट को अपने modules निर्देशिका में रखें, मॉड्यूल लोड करें और फिर इसे चलाएँ। ध्यान दें: यह स्क्रिप्ट अब PoshC2 में शामिल है, इसलिए इसे मैन्युअल रूप से जोड़ने की आवश्यकता नहीं है।

स्क्रिप्ट में दूरस्थ लक्ष्यों के विरुद्ध जाँच करने की क्षमता भी है यदि आपके पास ऐसा करने के विशेषाधिकार हैं, हालाँकि ये जाँच वर्तमान में प्रक्रिया जाँच, सामान्य इंस्टॉल निर्देशिकाओं और इंस्टॉल की गई सेवाओं तक सीमित हैं।

मैं समय मिलने पर सूची को जोड़ता और सुधारता रहूँगा। पूर्ण रोडमैप नीचे पाया जा सकता है।

इस टूल का C# संस्करण PowerShell संस्करण की तुलना में काफी बेहतर है और इसे यहाँ पाया जा सकता है:

https://github.com/PwnDexter/SharpEDRChecker

किसी भी समस्या या प्रश्न के लिए मुझे Twitter पर @PwnDexter पर खोजें!

Install

git clone https://github.com/PwnDexter/Invoke-EDRChecker.git

Usage

एक बार स्क्रिप्ट आपके होस्ट या पसंद के C2 में लोड हो जाने पर, आप निम्नलिखित कमांड का उपयोग कर सकते हैं:

स्थानीय होस्ट के विरुद्ध स्क्रिप्ट चलाएँ और वर्तमान उपयोगकर्ता अखंडता के आधार पर जाँच करें:

Invoke-EDRChecker

स्क्रिप्ट चलाएँ और रजिस्ट्री जाँच को बाध्य करें (जब आप व्यवस्थापक के रूप में नहीं चल रहे हों तो उपयोग के लिए):

Invoke-EDRChecker -Force

दूरस्थ होस्ट के विरुद्ध स्क्रिप्ट चलाएँ, यह कनेक्टिविटी का परीक्षण करता है और चलाने से पहले होस्टनाम को हल करने का प्रयास करता है:

Invoke-EDRChecker -Remote <hostname>

दूरस्थ होस्ट के लिए पूर्व-जाँच को बायपास करने के लिए कनेक्टिविटी जाँच को बायपास करने के लिए -Ignore फ़्लैग का उपयोग करें

Invoke-EDRChecker -Remote <hostname> -Ignore

Example Output - Note: इन स्क्रीनशॉट को अपडेट करने की आवश्यकता है और इसका केवल Windows 10 पर परीक्षण किया गया है, और अधिक परीक्षण आने वाले हैं।

यदि प्रक्रियाएँ और ड्राइवर छिपे हुए हैं और फिर भी मिल जाते हैं:

यदि दृश्यता अंतर दिखाने के लिए गैर-व्यवस्थापक के रूप में चल रहे हैं:

PoshC2 के साथ EDR-Checker का उपयोग करना:

Roadmap

• - और EDR उत्पाद जोड़ें - कभी न खत्म होने वाला
• - रजिस्ट्री जाँच के लिए बीटा फ़ंक्शन को परिष्कृत करें
  • - यदि व्यवस्थापक के रूप में नहीं चल रहे हैं तो फोर्स रेग जाँच जोड़ें
• - अधिक Windows और .NET संस्करणों पर परीक्षण करें
• - c# पर पोर्ट करें -
• - आउटपुट साफ करें
• - अपनी वर्तमान प्रक्रिया में वर्तमान में लोड किए गए DLL प्राप्त करें
  • - वर्तमान में लोड किए गए DLL का DLL मेटाडेटा प्राप्त करें
• - दूरस्थ होस्ट क्वेरी क्षमता जोड़ें
  • - edr जाँच करने से पहले कनेक्टिविटी और DNS जाँच जोड़ें
  • - edr जाँच करने से पहले दूरस्थ विशेषाधिकार जाँच जोड़ें
• - इंस्टॉल की गई सेवाओं की जाँच जोड़ें
• - unix/macos समर्थन के लिए python में पोर्ट करें