redsiege/wmimplantこれはPowerShellベースのツールで、RATのように動作するように設計されています。そのインターフェースはシェルであり、サポートされているコマンドはすべて、ネットワーク/リモートマシンで使用するためにWMI同等のコマンドに変換されます。WMImplantはWMIベースです。
WMImplant は、WMI を活用して対象マシンに対するアクションを実行するだけでなく、C2 チャネルとしてコマンドの発行と結果の受信を行う PowerShell ベースのツールです。WMImplant は対象マシン上でローカル管理者権限が必要になる可能性があります。
開発者: @christruncer
change_user - WMI コマンドを実行するユーザーコンテキストを変更します
exit - WMImplant を終了します
gen_cli - 非対話的に WMImplant を使用するためのコマンドラインコマンドを生成します
set_default - 対象システムの WMI プロパティをデフォルト値に戻します
help - コマンドと説明の一覧を表示します
cat - ファイルの内容を読み取ります
copy - ファイルをある場所から別の場所にコピーします
download - 対象マシンからファイルをダウンロードします
ls - 指定したディレクトリのファイル/ディレクトリ一覧を表示します
search - ユーザー指定のドライブ上でファイルを検索します
upload - 対象マシンにファイルをアップロードします
command_exec - コマンドラインコマンドを実行し、その出力を受け取ります
disable_wdigest - レジストリ値 UseLogonCredential を削除します
disable_winrm - 対象システムで WinRM を無効にします
enable_wdigest - レジストリ値 UseLogonCredential を追加します
enable_winrm - 対象システムで WinRM を有効にします
registry_mod - 対象マシンのレジストリを変更します
remote_posh - リモートマシンで PowerShell スクリプトを実行し、その出力を受け取ります
sched_job - スケジュールジョブを操作します
service_mod - システムサービスの作成、削除、または変更を行います
process_kill - 対象マシン上のプロセスを名前またはプロセス ID で強制終了します
process_start - 対象マシン上でプロセスを開始します
ps - プロセス一覧を表示します
active_users - 対象システムでアクティブなプロセスを持つドメインユーザーを一覧表示します
basic_info - 対象システムの基本的なメタデータを列挙するために使用します
drive_list - ローカルドライブとネットワークドライブを一覧表示します
ifconfig - アクティブなネットワーク接続を持つ NIC の IP 情報を取得します
installed_programs - 対象マシンにインストールされているプログラムの一覧を取得します
logoff - 対象マシンからユーザーをログオフします
reboot - 対象マシンを再起動します
power_off - 対象マシンの電源を切ります
vacant_system - ユーザーがシステムから離れているかどうかを判断します
logon_events - システムにログオンしたユーザーを特定します
WMImplant を使い始める最も簡単な方法は、スクリプトをインポートして Invoke-WMImplant を実行することです。これによりメインメニューが表示され、すぐに実行するコマンドを選択できます。メインメニュー内では、WMImplant を非対話的に実行するために必要なコマンドラインコマンドを出力させることも選択できます。
謝辞: @evan_Pena2003 - コードレビューとツールへの機能追加のご協力に感謝します @danielbohannon - コードの難読化に関するご協力に感謝します