盗まれたデータの検索に基づいて、新しいコードを追加したり既存のコードを修正したりし続けます

侵害された場合、これらのスクリプトは決してそれを修正してくれるわけではありません！ これらのスクリプトは、システムで何が起こったのかを知る以外には、あなたにとって何の利益も提供しません。

とはいえ、システムからどのようなデータが盗まれた可能性があるかについての調査で使用しているスクリプトを、ここに追加し続けます。

便利なリンク

1. https://www.bleepingcomputer.com/news/security/microsofts-msert-tool-now-finds-web-shells-from-exchange-server-attacks/
2. https://krebsonsecurity.com/2021/03/at-least-30000-u-s-organizations-newly-hacked-via-holes-in-microsofts-email-software/
3. https://www.huntress.com/blog/rapid-response-mass-exploitation-of-on-prem-exchange-servers
4. https://proxylogon.com/

CVE-2021-27065

Webシェル、可能性のあるzip、ログを検出するための簡単な一行PowerShellスクリプト。 各スクリプトは実行後、Cドライブのルートにあるtempフォルダ内のCSVに出力されます。

クイックコード説明:

CompedFiles.ps1

1. これは指定されたパスから開始します。
2. 各フォルダを順に調べ、その中のファイルを見つけます。
3. 各ファイルに対して、パターン "\w*://\w/<\w*\s.<.>" のチェックを開始します。
4. 一致するものがあれば、ファイルのパスとそのファイル内の該当行を選択します。
5. 選択後、Cドライブのルートにあるtempフォルダ内のCSVに書き込みます。

LogChecker

1. これは指定されたパスから開始します。
2. 各フォルダを順に調べ、その中のファイルを見つけます。
3. 各ファイルに対して、パターン "Set-OabVirtualDirectory" のチェックを開始します。
   1. これは必要なものよりも多くを拾うかもしれませんが、現時点では最善の方法です。
4. 一致するものがあれば、ファイルのパスとそのファイル内の該当行を選択します。
5. 選択後、Cドライブのルートにあるtempフォルダ内のCSVに書き込みます。

PossibleExfil

1. Cドライブのルートから開始します。
2. これはすべてのディレクトリを調べ、ファイル拡張子が zip または tar または gzip または 7z または rar または dmp のものを探します。
   1. zip -- サーバーから圧縮されて持ち出された可能性のあるファイル用
   2. tar -- サーバーからtarでまとめられて持ち出された可能性のあるフォルダ用
   3. gzip -- サーバーからgzipで圧縮されて持ち出された可能性のあるファイル用
   4. 7z -- サーバーから7zで圧縮されて持ち出された可能性のあるファイル用
   5. rar -- サーバーからrarで圧縮されて持ち出された可能性のあるファイル用
   6. dmp -- 可能性のあるプロセスダンプ用
3. これはもちろん、あなたが確認する必要があるよりもはるかに多くのものを取得します。
4. これはCドライブのルートにあるtempフォルダ内のCSVに出力されます。
   1. 素晴らしいのは、CSVファイルなので日付で並べ替えられることです。
      1. 私たちのチェックには昨年9月までのものが含まれています。昨年10月までの報告があるためです。

Get AdUsers / Groups

1. これらはADグループとADユーザーを照会します。
2. これを使用することで、ハッカーがADグループを変更したり、新しい管理者ユーザーを作成したりしたかどうかを確認できます。
3. これはCドライブのルートにあるtempフォルダ内のCSVに出力されます。