Mr.Kaplan

説明

MrKaplanは、レッドチームが実行の痕跡を消去して隠れ続けることを支援するツールです。実行時刻、ファイルのスナップショットといった情報を保存し、各証拠を関連するユーザーに関連付けます。

このツールは、Unixマシン向けの類似ツールMoonWalkに触発されています。

詳細については、wikiページをご覧ください。

機能

• イベントログの停止
• ファイルアーティファクトの消去
• レジストリアーティファクトの消去
• 複数のユーザーに対して実行可能
• ユーザーおよび管理者として実行可能（管理者としての実行を強く推奨）
• ファイルのタイムスタンプを保存可能
• 特定の操作を除外し、ブルーチームにアーティファクトを残すことが可能

使い方

• コンピュータでの操作を開始する前に、MrKaplanをbeginフラグ付きで実行し、終了時にendフラグ付きで再度実行してください。
• endフラグで再実行するまでMrKaplan-Config.jsonファイルを削除しないでください。削除すると、MrKaplanは情報を利用できなくなります。

IOCs

• wikiページに記載されているアーティファクトにアクセスするPowerShellプロセス
• 奇妙なbase64ブロブをインポートするPowerShell
• トークン操作を実行するPowerShellプロセス
• MrKaplanのレジストリキー: HKCU:\Software\MrKaplan

謝辞

• PowerSploit
• Phant0m
• ForensicArtifacts

免責事項

私は、本プロジェクトに起因するコンピュータやプログラムへのいかなる損害についても一切責任を負いません。コントリビューションを歓迎します。プルリクエストを作成してください。レビューします！