Mr.Kaplan

Descrizione
MrKaplan è uno strumento pensato per aiutare i red teamer a rimanere nascosti cancellando le prove dell'esecuzione. Funziona salvando informazioni come l'ora di esecuzione, un'istantanea dei file e associando ogni prova all'utente interessato.
Questo strumento è ispirato a MoonWalk, un tool simile per macchine Unix.
Puoi leggere di più nella pagina wiki.
Funzionalità
- Arresto della registrazione degli eventi.
- Cancellazione degli artefatti dei file.
- Cancellazione degli artefatti del registro.
- Può essere eseguito per più utenti.
- Può essere eseguito come utente e come amministratore (si consiglia vivamente di eseguirlo come amministratore).
- Può salvare le timestamp dei file.
- Può escludere determinate operazioni e lasciare artefatti per i blue team.
Utilizzo
- Prima di iniziare le operazioni sul computer, esegui MrKaplan con il flag begin e, quando hai finito, eseguilo di nuovo con il flag end.
- NON RIMUOVERE il file MrKaplan-Config.json fino a quando non lo esegui di nuovo con il flag end, altrimenti MrKaplan non sarà in grado di utilizzare le informazioni.
IOC
- Processo Powershell che accede agli artefatti menzionati nella pagina wiki.
- Powershell che importa uno strano blob base64.
- Processo Powershell che esegue manipolazione dei token.
- Chiave di registro di MrKaplan: HKCU:\Software\MrKaplan.
Riconoscimenti
Disclaimer
Non sono responsabile in alcun modo per qualsiasi tipo di danno arrecato al tuo computer/programma a causa di questo progetto. Accetto volentieri contributi: fai una pull request e la esaminerò!