はじめに

2021年以降、私は調査と修復作業を支援するために多数のスクリプトを開発してきました。せっかくなので、皆さんのお役に立てればと思い、公開することにしました。

これらのスクリプトはどのように機能しますか？

私が開発したスクリプトは、Crowdstrike Endpoint Detection and Response（EDR）と連携することを目的としています。基本的には、ボタンをワンクリックするだけでデバイスをリモートで迅速に修復できるクラウドスクリプトです。

なぜこれらのスクリプトを作成したのか？

これらのスクリプトの目的は、SOCまたはインシデントレスポンスアナリストの調査を支援することです。一部のスクリプトは、特定の不要なソフトウェア/アドウェアの修復を支援します。また、特定のシステムをユーザー名で調査し、可視性を高めるためのスクリプトもあります。

目次

手動クラウドスクリプト

• WinInspect - WinInspectは、対象ユーザー名に基づいてWindowsシステムの可視性を高めるための、アナリストを支援する軽量ツールです。
• MACInspect - MACInspectは、対象ユーザー名に基づいてMACシステムの可視性を高めるための、アナリストを支援する軽量ツールです。
• LinInspect - LinInspectは、対象ユーザー名に基づいてLinuxシステムの可視性を高めるための、アナリストを支援する軽量ツールです。
• EnumChromeExt - EnumChromeExtはChrome拡張機能を取得し、その名前を自動的に検出しようとします。
• Win-PortScanner - Win-PortScannerは、非常に軽量なポートスキャナーです。
• ScanDll - ScanDllは、特定のダイナミックリンクライブラリ(DLL)をプロセスから検索するのに役立つツールです。
• ScanDllv2 - ScanDllv2は、C#を使用して特定のダイナミックリンクライブラリをプロセスから検索するために設計されたツールです。ScanDllよりはるかに高速ですが、CrowdStrike RTR UIでの標準出力表示に問題があるため、出力はログファイルに書き込まれます。
• RegScanner - 独自のキーワードを使用してレジストリキーまたは値を検索するために設計された、驚くほど高速なツールです。
• UnloadDll - プロセスのメモリに読み込まれているダイナミックリンクライブラリを検索し、FreeLibraryを使用してアンロードを試みる、もう1つの驚くほど高速なツールです。
• Win-DiskImage-Toolkit - ディスクイメージをすばやく列挙またはアンマウントするためのシンプルなツールです。
• ScreenConnect-C2Extractor - ScreenConnect-C2Extractorは、ScreenConnect（別名ConnectWise Client）のuser.configからC2を取得します。
• Win-PacketCapture - 分析用のパケットダンプを生成するためのガイド付きスクリプトです。
• jsonspection - JSONSpectionは、JSONデータ構造を徹底的に検査および列挙するために設計されたユーティリティです。複雑または入れ子になったJSONブロブを分解し、すべてのキーと値のパスを特定し、データ内の全体的なスキーマと関係を理解するのに役立ちます。これにより、APIのデバッグ、ログの分析、または解析および自動化ワークフローのためのデータ準備に役立ちます。
• EvidenceCollection - このスクリプトは、指定されたユーザーのダウンロード、ドキュメント、デスクトップディレクトリから、Wordファイル、Excelスプレッドシート、テキストファイル、PDF、メールなどの一般的なユーザードキュメントタイプを収集します。C:\temp\SIRTディレクトリが存在しない場合は自動的に作成し、一致するすべてのファイルをその場所にコピーして、一元化されたレビュー、証拠の保存、またはインシデント調査に使用します。ファイルタイプ、ディレクトリ、ユーザー名は、ケースのニーズに合わせてカスタマイズできます。
• Win-DmpEventLogs - Win-DmpEventLogsは、指定された時間範囲内のWindowsイベントログをダンプできる非常に便利なフォレンジックツールです：1 = 過去24時間、7 = 過去1週間、30 = 過去1か月、0 = すべてのイベント。識別を支援するための基本ルールが実装されています。
• Win-EnumVsCodeExtension - このPowerShellスクリプトは、VS Code拡張機能ディレクトリを検査し、各拡張機能のpackage.jsonメタデータファイルを解析することにより、指定されたユーザーアカウントにインストールされているVisual Studio Code拡張機能を列挙します。
• Win-datebased_filehunt - このPowerShellスクリプトは、埋め込まれたC#コードを使用して、特定の日付に変更されたファイルをC:\ドライブから再帰的に検索します。一致するすべてのファイル（完全なパス、最終更新タイムスタンプ、ファイルサイズを含む）を、C:\Windows\Temp\hunter_log_results.logにあるログファイルに記録します。

Process Execution Rules (Event ID 4688)
Net.exe Execution - General net.exe usage
Net User/Group - Net user/group commands
Net Share - Net share/use commands
Whoami Execution - Whoami command execution
Systeminfo Execution - Systeminfo command
Tasklist Execution - Tasklist command
Nslookup Execution - Nslookup command
Ping Sweep - Ping with -n or -t flags
PowerShell Encoded - PowerShell with encoded commands
PowerShell Bypass - PowerShell bypass techniques
PowerShell Download - PowerShell download strings
Certutil Download - Certutil used for downloads
BITSAdmin Download - BITSAdmin transfer/download
WMIC Process - WMIC process execution
Scheduled Task - Scheduled task creation/execution
Registry Modification - Registry add/delete operations
Service Creation - Service creation/start
Authentication & Access Rules
Network Logon - Network logon (LogonType 3)
Failed Admin Logon - Failed logon to Administrator account
Explicit Credential Use - Event ID 4648
Privilege Escalation - Event ID 4672
Account Management Rules
User Account Created - Event ID 4720
Group Member Added - Event ID 4728
System Configuration Rules
Service Installation - Event ID 4697
Service Modified - Event ID 7045 (System log)
Driver Load - Event ID 219 (System log)
Audit Policy Change - Event ID 4719
Network Share Added - Event ID 5142
WFP Blocked - Windows Filtering Platform blocked connection (Event ID 5157)

Crowdstrike APIスクリプト

• CSSession - CSSessionは、引数として対象のホスト名を入力することでReal-Time-Responseを介して接続できるCrowdStrike APIスクリプトです。このスクリプトを使用するには、適切なAPI権限が必要であり、clientid / secretが正しいことを確認する必要があります。
• CrowdStrike-API-queued-script - CrowdStrike API Queuedスクリプトを使用すると、選択したクラウドスクリプトを対象ホストにキューに入れることができます。このスクリプトを使用するには、適切なAPI権限が必要であり、clientid / secretが正しいことを確認する必要があります。

Crowdstrike 修復スクリプト

以下のライブラリには、実際に蔓延している一般的な不要なソフトウェア、アドウェア、マルウェアを削除するために設計された修復スクリプトのコレクションが含まれています。修復したい特定のプログラムを見つけた場合は、対応するスクリプトをダウンロードして環境で自由に使用してください。

• 123Movies
• 1browser
• 39bar
• AceLauncher
• AppMaster
• AppRun
• AskPartnerNetwork
• Ask Toolbar
• BBSK(SecureBrowser)
• Bloom
• BrightTramp
• BrowserAssistant
• ByteFence
• Calendaromatic
• Cash
• Clearbar
• Convertmate
• CrystalPDF
• DSOne Agent
• DebuggerStepperBoundaryAttribute

私の作業が役に立つと感じ、支援したいと思われますか？お気軽にTwitterで私を追加してください。さらに支援したい場合は、Ko-Fiでチップを送ることもできます。決して強制ではありません。どちらにせよ、あなたの支援に感謝します！

独自の修復スクリプトを提供して貢献していただける場合は、大変ありがたく存じます。一般の安全を守るためのあらゆる支援を高く評価します。スムーズなレビューと検証プロセスのために、コードが明確かつ簡潔であることを確認してください。提出はissueとして送信できます。所有者の名前は修復スクリプトに関連付けられます。

スクリプトに関する問題があれば、お気軽にissueとして報告してください。