Forensia

レッドチーム向けの反フォレンジックツール。ポストエクスプロイテーションフェーズでの痕跡消去に使用。

ペイロードのバーンアウトを低減し、検出までのカウントダウンを増加させます。インシデントレスポンス/フォレンジックチームの能力をテストするために使用できます。

機能

• Sysmonドライバのアンロード
• Gutmann方式によるファイルシュレッディング
• USNJrnlの無効化
• Prefetchの無効化
• ログ消去およびイベントログの無効化
• User Assist更新時刻の無効化
• アクセス時刻の無効化
• Recent Itemsの消去
• Shim Cacheの消去
• RecentFileCacheの消去
• ShellBagの消去
• Windows Defender隔離ファイルの削除
• ファイルメルティング機能

重要な更新

追加:

• Recent Itemsの消去
• Shim Cacheの消去
• RecentFileCacheの消去
• ShellBagの消去
• 隔離ファイルの消去

TODO

• すべてのディスクドライブでのUSNJRnl実行

• 未割り当て領域の再書き込み

• 少しの調整

クレジット

https://github.com/Naranbataar/Corrupt

https://github.com/LloydLabs/delete-self-poc

https://github.com/OsandaMalith/WindowsInternals/blob/master/Unload_Minifilter.c

https://stackoverflow.com/users/15168/jonathan-leffler

https://github.com/GiovanniDicanio/WinReg