Meerkat

Meerkat è una raccolta di moduli PowerShell progettata per la raccolta di artefatti e la ricognizione di endpoint basati su Windows senza richiedere un agente pre-distribuito. I casi d'uso includono triage di incident response, caccia alle minacce, monitoraggio di baseline, confronti di snapshot e altro ancora.

Artefatti

• Ingerisci utilizzando il tuo SIEM preferito (Dai un'occhiata al repository SIEM!)

Indice

• Avvio Rapido
• Utilizzo
• Analisi
• Risoluzione dei Problemi
• Screenshot
• Progetti Simili

Avvio Rapido

Requisiti

• Richiede PowerShell 5.0 o superiore sul dispositivo di "scansione".
• Richiede PowerShell 3.0 o superiore sui sistemi di destinazione. Puoi renderlo retro compatibile fino a PowerShell 2.0 sostituendo le occorrenze di "Get-CIMinstance" con "Get-WMIObject".
• Richiede accesso WinRM.

Installazione con Git

In un prompt dei comandi o PowerShell, digita quanto segue...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

Per aggiornare...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

Installazione con PowerShell

Copia/incolla questo in una console PowerShell

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

Per aggiornare, esegui semplicemente lo stesso blocco di comandi di nuovo.

Le funzioni possono anche essere utilizzate aprendo il file .psm1 e copiando/incollando l'intero contenuto in una console PowerSell.

Esecuzione di Meerkat

Questo comando produrrà i risultati in C:\Users\YourName\Meerkat\

Invoke-Meerkat

NOTA: I seguenti moduli non restituiranno risultati se non eseguiti con privilegi di amministratore

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

Analisi

Le metodologie e tecniche di analisi sono fornite nelle pagine Wiki.

Risoluzione dei Problemi

Installazione di un modulo PowerShell

Se il tuo sistema non carica automaticamente i moduli nel tuo profilo utente, potresti dover importare manualmente il modulo.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

Si consiglia di adottare il seguente approccio per individuare dove risiede l'effettivo problema.

TEST 1 – MEERKAT FUNZIONA LOCALMENTE?

• Testa Meerkat sul sistema locale
  • Invoke-Meerkat

TEST 2 – LO SCANSIONE REMOTA FUNZIONA?

Nota: Esegui questo test con un account che ha diritti di amministratore locale sul sistema di destinazione.

• Testa Meerkat su un sistema Windows remoto
  • Invoke-Meerkat -Computer RemoteName

TEST 3 – È POSSIBILE CREARE L'ATTIVITÀ PIANIFICATA E L'MSA?

• Rimuovi eventuali attività pianificate esistenti relative a Meerkat
• Rimuovi eventuali MSA relativi a Meerkat
• Configura il file Schedule-Meerkat.ps1, quindi eseguilo.

TEST 4 – MEERKAT-TASK.PS1 FUNZIONA?

Nota: Esegui questo test con un account che ha diritti di amministratore locale sul sistema di destinazione.

• Configura il file Meerkat-Task.ps1 con # OPZIONE 1 (host locale)
• Esegui lo script manualmente.

TEST 5 – L'ATTIVITÀ PIANIFICATA E L'MSA FUNZIONANO?

• Esegui lo script Meerkat-Task.ps1 tramite attività pianificate.

Se fallisce:

• Assicurati che WinRM sia abilitato sull'host remoto
• Assicurati che l'MSA abbia diritti di amministratore locale sull'host remoto

TEST 6 – MEERKAT-TASK.PS1 FUNZIONA IN REMOTO?

• Configura il file Meerkat-Daily-Task.ps1 con # OPZIONE 3 (host remoto, Giornaliero)
  • Specifica un host remoto in hosts.txt
  • Esegui lo script manualmente con un account con amministratore locale sul sistema remoto.

TEST 7 – L'MSA HA I PERMESSI CORRETTI SUGLI HOST REMOTI?

• Configura il file Meerkat-Task.ps1 con # OPZIONE 3 (host remoto, Giornaliero)
  • Specifica un host remoto in hosts.txt
  • Esegui lo script Meerkat-Task.ps1 tramite attività pianificate.

TEST 8 – TUTTO FUNZIONA ORA?

• Configura il file Meerkat-Task.ps1 con # OPZIONE 2 (scansione dominio completamente automatica)
  • Esegui lo script manualmente con un account con amministratore locale sul sistema remoto.
  • Esegui lo script Meerkat-Task.ps1 tramite attività pianificate.

Aggiungere un Nuovo Modulo

• Crea il nuovo file .psm1, preferibilmente copiando un modulo esistente con logica sufficientemente simile e usandolo come punto di partenza.
  • Aggiorna il nome del modulo
  • Usando trova e sostituisci, sostituisci tutte le occorrenze del nome del template
  • Aggiorna le sezioni Synopsis, Description, Parameters, Examples e Notes
  • Sostituisci la logica del blocco process{} con la nuova logica. Assicurati che restituisca un array di oggetti PowerShell corrispondenti.
  • Salva il modulo con un nome appropriato.
• Aggiungi il nome del nuovo modulo a Meerkat.psd1. Può essere fatto manualmente o eseguendo /Utilities/Generate-ModuleManifest.ps1
• Aggiungi il nuovo modulo alla tabella in questo README.md
  • Aggiungilo alla tabella degli Artefatti.
• Aggiungi il nuovo modulo a Invoke-Meerkat.psm1
  • Aggiungi al Parametro m/mod/modules, includendo sia il ValidateSet che l'array $Modules stesso.
  • In begin{}, aggiungi a $ModuleCommandArray
  • In begin{}, aggiungi al blocco di codice if ($All) {}
  • Se il modulo impiega più di qualche secondo, aggiungilo anche al blocco di codice if ($Quick) {. Questo impedisce che venga eseguito quando l'utente invoca -Fast

Screenshot

Output del comando "Invoke-Meerkat"

File di output

Progetti Simili

• https://github.com/travisfoley/dfirtriage
• https://github.com/Invoke-IR/PowerForensics
• https://github.com/PowerShellMafia/CimSweep
• https://www.crowdstrike.com/resources/community-tools/crowdresponse/
• https://github.com/gfoss/PSRecon/
• https://github.com/n3l5/irCRpull
• https://github.com/davehull/Kansa/
• https://github.com/WiredPulse/PoSh-R2
• https://github.com/google/grr
• https://github.com/diogo-fernan/ir-rescue
• https://github.com/SekoiaLab/Fastir_Collector
• https://github.com/AlmCo/Panorama
• https://github.com/certsocietegenerale/FIR
• https://github.com/securycore/Get-Baseline
• https://github.com/Infocyte/PSHunt
• https://github.com/giMini/NOAH
• https://github.com/A-mIn3/WINspect
• https://learn.duffandphelps.com/kape
• https://www.brimorlabs.com/tools/

Cosa rende Meerkat unico?

• Leggero. Sta in un floppy disk!
• Impatto/occupazione minima sui target.
• Sfrutta PowerShell e WMI/CIM.
• Lo stile di codifica incoraggia una corretta revisione del codice, l'apprendimento e il "prestito".
• Nessuna DLL o componente compilato.
• Output standardizzato - predefinito in .csv, e può supportare facilmente json, xml, ecc.