Introduzione

Dal 2021 ho sviluppato una serie di script per assistermi nelle mie attività di indagine e remediation. Ho pensato, perché non condividerli con il pubblico, nella speranza che possano esserti utili.

Come funzionano questi script?

Gli script che ho sviluppato sono pensati per funzionare con Crowdstrike Endpoint Detection and Response (EDR). Essenzialmente script cloud per correggere rapidamente i dispositivi da remoto con un solo clic su un pulsante.

Perché creare questi script?

Lo scopo dei miei script è assistere un SOC o un analista di Incident Response nelle loro indagini. Alcuni script aiutano nella remediation di un particolare software/adware indesiderato. Altri script aiutano a investigare un particolare sistema tramite nome utente per fornire maggiore visibilità.

Indice dei contenuti

Script Cloud Manuali

• WinInspect - WinInspect è uno strumento leggero per assistere un analista nel fornire maggiore visibilità su un sistema Windows in base a un nome utente di destinazione.
• MACInspect - MACInspect è uno strumento leggero per assistere un analista nel fornire maggiore visibilità su un sistema MAC in base a un nome utente di destinazione.
• LinInspect - LinInspect è uno strumento leggero per assistere un analista nel fornire maggiore visibilità su un sistema Linux in base a un nome utente di destinazione.
• EnumChromeExt - EnumChromeExt recupera le estensioni di Chrome e tenta automaticamente di rilevarne il nome.
• Win-PortScanner - Win-PortScanner è uno scanner di porte estremamente leggero.
• ScanDll - ScanDll è uno strumento per aiutare a cercare nei processi una particolare libreria a collegamento dinamico.
• ScanDllv2 - ScanDllv2 è uno strumento progettato per cercare nei processi una specifica libreria a collegamento dinamico usando C#. È molto più veloce di ScanDll, ma l'output viene scritto in un file di log a causa di problemi con la visualizzazione dell'output standard nell'interfaccia RTR di CrowdStrike.
• RegScanner - Uno strumento straordinariamente veloce progettato per cercare una chiave o un valore di registro usando una parola chiave univoca.
• Win-DiskImage-Toolkit - Un semplice strumento per enumerare o smontare rapidamente un'immagine disco.
• ScreenConnect-C2Extractor - ScreenConnect-C2Extractor recupera il C2 dal user.config di ScreenConnect, noto anche come ConnectWise Client.
• Win-PacketCapture - Uno script guidato per generare un dump di pacchetti da analizzare.
• EvidenceCollection - Questo script raccoglie i tipi di documenti utente comuni—come file Word, fogli di calcolo Excel, file di testo, PDF ed email—dalle directory Downloads, Documents e Desktop di un utente specificato. Crea automaticamente la directory C:\temp\SIRT (se non esiste già) e copia tutti i file corrispondenti in quella posizione per la revisione centralizzata, la conservazione delle prove o l'indagine sull'incidente. I tipi di file, le directory e il nome utente possono essere personalizzati per soddisfare le esigenze del caso.
• Win-DmpEventLogs - Win-DmpEventLogs è uno strumento forense estremamente utile che consente di eseguire il dump dei registri eventi di Windows entro un intervallo di tempo specificato: 1 = last 24 hours, 7 = last week, 30 = last month, 0 = all events.. Sono state implementate regole di base per assistere nell'identificazione.
• Win-EnumVsCodeExtension - Questo script PowerShell enumera le estensioni di Visual Studio Code installate per un account utente specificato, ispezionando le directory delle estensioni di VS Code e analizzando il file di metadati package.json di ciascuna estensione.
• Win-datebased_filehunt - Questo script PowerShell utilizza codice C# incorporato per cercare ricorsivamente nell'unità C:\ i file che sono stati modificati in una data specifica. Registra tutti i file corrispondenti, inclusi il loro percorso completo, la data e ora dell'ultima modifica e la dimensione del file, in un file di log situato in C:\Windows\Temp\hunter_log_results.log.
• Win-TokenImpersonateExec - Questo script consente agli analisti di eseguire comandi nel contesto di sicurezza di un utente specificato sfruttando il token di accesso dell'utente. Utilizzare questo script solo quando necessario. Poiché esegue comandi nel contesto di sicurezza di un utente target, dovrebbe essere riservato a situazioni in cui artefatti, impostazioni o dati specifici dell'utente devono essere raccolti e non possono essere ottenuti tramite accesso amministrativo standard o a livello SYSTEM.
• Win-EnumLockedFile - Questo script sfrutta l'API Windows Restart Manager per identificare i processi che hanno attualmente un file specificato aperto o bloccato.

Script o utilità varie