NorkNork - Empireの永続化ペイロードを特定するツール

https://www.n00py.io/2017/01/removing-backdoors-powershell-empire-edition/

概要:

このスクリプトは、Windowsシステム上でPowershell Empireの永続化ペイロードを特定するために設計されました。
現在、以下の永続化方法のチェックをサポートしています：

• スケジュールタスク
• 自動実行
• WMIサブスクリプション
• セキュリティサポートプロバイダ
• アクセスのしやすさセンターのバックドア
• マシンアカウントパスワード無効化

インストール:

このスクリプトはPython 2.7で実行するか、pyinstallerのexeをダウンロードして実行できます。バイナリまたはスクリプトをPowerShellウィンドウで実行してください。

使い方:

Pythonスクリプトの実行

PS C:\Users\>python norknork.py

バイナリの実行

PS C:\Users\> .\norknork.exe

データをテキストファイルに保存

PS C:\Users\> .\norknork.exe > results.txt

###FAQ:

Q: なぜこれをPowerShellで作成しなかったのですか？

A: PowerShellを学ぶのが面倒だったからです。

Q: これはすべての永続化方法を見つけられますか？

A: いいえ、Powershell Emprire内のものと、再起動後も持続するものだけです。