last-byte/persistencesniperブルーチーム、インシデントレスポンダー、システム管理者がWindowsマシンに埋め込まれた永続化を調査するために使用できるPowershellモジュール。公式Twitter/Xアカウント @PersistSniper。❤️を込めて @last0x00 と @dottor_morte によって作成されました。
PersistenceSniper |
|---|
|
なぜこのようなツールを作ったのかと疑問に思うかもしれません。まず最初に言えるのは、私はいろいろと探してみたものの、自分の特定のユースケースに合ったツールが見つからなかったということです。私のユースケースとは、既知の永続化手法を自動的に、複数のマシンにわたって探し出し、結果を素早く簡単に解析・比較できることでした。確かに、SysinternalsのAutorunsは素晴らしいツールで、使う価値は十分にあります。しかし、結果が非標準的な形式で出力され、コマンドライン版で何か工夫をしない限りリモート実行もできないため、自分には合わないと感じました。さらに、PersistenceSniperにこれまで実装してきた手法の中には、私の知る限りAutorunsにはまだ実装されていないものもあります。とはいえ、すでに多くの機能が実装された使いやすいGUIベースのツールが必要なら、Autorunsが最適です。そうでなければ、PersistenceSniperを試してみてください。外すことはありませんよ😉
PersistenceSniperを正しく使う方法については、プロジェクトのWikiをご覧ください。
TL;DR Wikiを読むのが面倒な場合（読むことを強くお勧めしますが）、以下の3つのコマンドでPersistenceSniperをインストール、インポート、実行できます。
PS> Install-Module PersistenceSniper
PS> Import-Module PersistenceSniper
PS> Find-AllPersistence
これまでに実装された永続化手法の詳細は、PersistenceSniper Wikiの検出ページに記載されています。
このツールの大部分は、他の熟練研究者の研究に基づいています。そのため、功績は然るべき人々に帰属させるのが適切です。このプロジェクトは以下の方々がいなければ存在しませんでした：
さらに、以下の方々がプロジェクトに貢献してくれました：
また、@APTortelliniの仲間たちにも感謝します。彼らのアイデアの奔流が、このツールを小さなテキスト指向のスクリプトから本格的なPowershellモジュールへと成長させる助けとなりました。
このプロジェクトは、Commons Clause 付き MIT ライセンスのもとで公開されています。要するに、許可を得ることなく、コピー、修正、配布、実行を行うことができます。ただし、商用目的 を除きます。
PersistenceSniperは、ブルーチーム、インシデントレスポンダー、システム管理者がWindowsマシンに仕込まれた永続化機構をハントするために使用できるPowershellモジュールです。Powershell Galleryからも入手可能で、有効なコード署名証明書でデジタル署名されています。このツールは活発に開発が進められており、毎週新しいリリースが公開されているので、最新バージョンを使用するようにしてください。公式Twitter/Xアカウントは@PersistSniperです。