EDRaser

Guida all'uso

EDRaser è un potente strumento per eliminare da remoto i log di accesso, i log eventi di Windows, i database e altri file su macchine remote. Offre due modalità operative: automatica e manuale.

Modalità automatica

In modalità automatica, EDRaser scansiona la classe C di un dato spazio di indirizzi IP alla ricerca di sistemi vulnerabili e li attacca automaticamente. Gli attacchi in modalità automatica sono:

• Eliminazione remota dei log del server web.
• Eliminazione dei SysLog (su Linux).
• Eliminazione locale dei log eventi delle applicazioni Windows.
• Eliminazione remota dei log eventi di Windows.
• Eliminazione di VMX + VMDK

Per utilizzare EDRaser in modalità automatica, segui questi passaggi:

python edraser.py --auto

Modalità manuale

In modalità manuale, puoi selezionare attacchi specifici da lanciare contro un sistema mirato, offrendoti un maggiore controllo. Nota che alcuni attacchi, come l'eliminazione di VMX, sono solo per macchine locali.

Per utilizzare EDRaser in modalità manuale, puoi usare la seguente sintassi:

python edraser.py --ip <ip_addr> --attack <nome_attacco> [--sigfile <file firma>]

Argomenti:

• --ip: scansiona gli indirizzi IP nell'intervallo specificato e attacca i sistemi vulnerabili (predefinito: localhost).
• --sigfile: usa il database di firme crittografate specificato (predefinito: signatures.db).
• --attack: attacco da eseguire. I seguenti attacchi sono disponibili: ['vmx', 'vmdk', 'windows_security_event_log_remote', 'windows_application_event_log_local', 'syslog', 'access_logs', 'remote_db', 'local_db', 'remote_db_webserver']

Argomenti opzionali:

• port: porta della macchina remota
• db_username: nome utente del database remoto.
• db_password: password del database remoto.
• db_type: tipo di database, EDRaser supporta mysql, sqlite. (# Nota che per sqlite non sono necessari nome utente/password)
• db_name: nome del database remoto a cui connettersi
• table_name: nome della tabella remota a cui connettersi
• rpc_tools: percorso degli strumenti rpc_tools di VMware

Esempio:

python edraser.py --attack windows_event_log --ip 192.168.1.133 

python EDRaser.py -attack remote_db -db_type mysql -db_username test_user -db_password test_password -ip 192.168.1.10

Server web DB

Puoi avviare un'interfaccia web per inserire e visualizzare un database remoto. può essere fatto con il seguente comando: EDRaser.py -attack remote_db_webserver -db_type mysql -db_username test_user -db_password test_password -ip 192.168.1.10

Questo avvierà un server web all'indirizzo localhost:8080, che ti permetterà di visualizzare e inserire dati in un database remoto specificato. Questa funzionalità è progettata per fornire un esempio di uno scenario "reale" in cui hai un sito web in cui inserisci dati e li conserva in un database remoto. Puoi usare questa funzionalità per inserire manualmente dati in un database remoto.

Attacchi Disponibili

In modalità manuale, EDRaser mostra un elenco di attacchi disponibili. Ecco una breve descrizione di ciascun attacco:

1. Log eventi di Windows: Elimina i log eventi di Windows dal sistema remoto target.
2. Exploit VMware: Elimina i file VMX e VMDK sulla macchina host. Questo attacco funziona solo sulla macchina localhost in un ambiente VMware modificando il file VMX o scrivendo direttamente sui file VMDK.
3. Log del server web: Elimina i log di accesso dai server web in esecuzione sul sistema target inviando una stringa malevola come user-agent che viene scritta nei file di log di accesso.
4. SysLogs: Elimina i syslog dalle macchine Linux che eseguono Kaspersky EDR senza essere rilevati.
5. Database: Elimina tutti i dati dal database remoto target.

Autore - Shmuel Cohen

• LinkedIn - Shmuel Cohen
• Twitter - @BinWalker