TaskHound ロゴ

Windows 特権スケジュールタスク発見ツール（楽しみと利益のため）

TaskHound は、特権アカウントと保存された資格情報で実行される Windows スケジュールタスクを検索します。SMB 経由でタスクを列挙し、XML を解析し、BloodHound 統合を通じて高価値の攻撃機会を特定します。

背景や詳細な説明については、関連するブログ記事をご覧ください: Part 1 および Part 2。

主な機能

機能	説明
Tier 0 & High Value Detection	Domain Admins、Enterprise Admins、その他の特権アカウントとして実行されるタスクを自動的に識別します
BloodHound Integration	ライブの BHCE/Legacy インスタンスに接続するか、エクスポートを取り込んで高価値ユーザーの検出を行います
OpenGraph Support	スケジュールタスクを BloodHound CE の攻撃パスノードとして可視化します
LAPS Integration	Windows LAPS と Legacy の両方の LAPS パスワードを自動取得し、ホストごとの認証に使用します
DPAPI Credential Extraction	保存されたタスク資格情報を含む DPAPI ブロブを収集および復号化します
Multi-threaded Scanning	レート制限付きの並列ターゲット処理により、大規模環境をスキャンします
LDAP-based Tier-0 Detection	BloodHound を使用せずに、グループメンバーシップを介して特権アカウントを検出します
Credential Validation	RPC 経由で保存されたタスクパスワードがまだ有効かどうかを検証します
Offline Analysis	マウントされたディスクイメージや以前収集された XML を処理します
Multiple Output Formats	プレーンテキスト、JSON、CSV、HTML 形式のセキュリティレポート（重要度スコア付き）を出力します
SID Resolution	BloodHound → Cache → LSARPC → LDAP → GC を使用したマルチティア解決
Caching	SID ルックアップと LAPS 資格情報のための SQLite ベースの永続キャッシュ

クイックスタート```bash

Install

git clone https://github.com/1r0BIT/TaskHound.git cd TaskHound python3 -m venv .venv && source .venv/bin/activate pip install -r requirements.txt && pip install .

Basic usage - single target

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local

Multiple targets with threading

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --targets-file hosts.txt --threads 10

Auto-discover all domain computers

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --dc-ip 10.0.0.1 --auto-targets --threads 20

With LAPS - auto-retrieves per-host local admin passwords

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --targets-file hosts.txt --laps --threads 10

Offline analysis of mounted disk image

taskhound --offline-disk /mnt/disk

> **Auth Support**: TaskHoundは、パスワード、NTLMハッシュ、Kerberos（ccacheも含む）、AESキー認証を含む主要な認証メカニズムをサポートしています。

## 設定ファイル

TaskHoundは、永続的な設定のためにTOML設定ファイルをサポートしています。ワーキングディレクトリまたは `~/.config/taskhound/` に `taskhound.toml` を作成します。```toml
[authentication]
username = "svc_taskhound"
domain = "THESIMPSONS.LOCAL"

[target]
dc_ip = "10.0.0.1"
threads = 10
timeout = 30

[bloodhound]
live = true
connector = "http://127.0.0.1:8080"
api_key = "${BH_API_KEY}"      # Use env vars for secrets
api_key_id = "${BH_API_KEY_ID}"
type = "bhce"

[bloodhound.opengraph]
enabled = true
output_dir = "./opengraph"

[laps]
enabled = true

[cache]
enabled = true
ttl = 86400  # 24 hours

優先順位: CLI args > 環境変数 > ローカル設定 > ユーザー設定 > デフォルト

AdaptixC2 統合

TaskHound の BOF は、Adaptix Extension-Kit の SAR-BOF/taskhound/ に含まれています。

デモ出力```

TTTTT AAA SSS K K H H OOO U U N N DDDD T A A S K K H H O O U U NN N D D T AAAAA SSS KKK HHHHH O O U U N N N D D T A A S K K H H O O U U N NN D D T A A SSSS K K H H OOO UUU N N DDDD

                 by 0xr0BIT

[+] Connecting to BloodHound CE at http://127.0.0.1:8080 [+] BloodHound connection successful (API v2) [+] High Value target data loaded (42 users) [+] OpenGraph generation enabled (auto-upload active) [] Processing target: moe.thesimpsons.local [+] moe.thesimpsons.local: Connected via SMB [+] moe.thesimpsons.local: Local Admin Access confirmed [] moe.thesimpsons.local: Enumerating scheduled tasks (skipping \Microsoft) [+] moe.thesimpsons.local: Found 12 tasks (3 privileged, 2 with stored credentials)

┌──────────────────────────────────────────────────────────────────────────────┐ │ [TIER-0] moe.thesimpsons.local - \DuffBrewery\BackupJob │ ├──────────────────────────────────────────────────────────────────────────────┤ │ Enabled │ True │ │ RunAs │ THESIMPSONS\Administrator │ │ What │ C:\Scripts\backup_beer_recipes.ps1 │ │ Author │ THESIMPSONS\burns.monty │ │ Date │ 2025-06-15T02:30:00 │ │ Trigger │ Calendar (starts 2025-06-15 02:30, daily) │ │ Reason │ Tier 0 - Domain Admins membership │ │ Cred Validation │ CONFIRMED_VALID │ │ Pwd Analysis │ Password unchanged AND ran within schedule - confirmed │ └──────────────────────────────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────────────────────────────┐ │ [PRIV] moe.thesimpsons.local - \KrustyBurger\InventorySync │ ├──────────────────────────────────────────────────────────────────────────────┤ │ Enabled │ True │ │ RunAs │ THESIMPSONS\svc_krusty │ │ What │ C:\KrustyApps\sync.exe --silent │ │ Author │ THESIMPSONS\carlson.carl │ │ Date │ 2025-03-10T08:00:00 │ │ Trigger │ Calendar (starts 2025-03-10 08:00, every 4 hours) │ │ Reason │ High Value match found in BloodHound │ │ Cred Validation │ DEFINITELY_STALE │ │ Pwd Analysis │ Password changed AFTER last run - credentials are stale │ └──────────────────────────────────────────────────────────────────────────────┘

╭─────────────────────────── SCAN COMPLETE ────────────────────────────────────╮ │ [+] Succeeded: 1 │ │ [-] Failed: 0 │ │ Total time: 2.34s │ │ Avg per target: 2340ms │ ╰──────────────────────────────────────────────────────────────────────────────╯

TaskHound v1.2.0