도난 데이터 검색을 기반으로 새로운 코드를 추가하거나 기존 코드를 계속 수정할 예정입니다

시스템이 손상된 경우, 이 스크립트가 문제를 해결해 주지는 않습니다! 이 스크립트는 시스템에서 발생한 일의 범위를 알게 되는 것 외에는 아무런 이점을 제공하지 않습니다.

그렇기 때문에 저는 시스템에서 도난당할 수 있었던 데이터를 조사하는 데 사용하고 있는 스크립트를 여기에 계속 추가할 것입니다.

유용한 링크

1. https://www.bleepingcomputer.com/news/security/microsofts-msert-tool-now-finds-web-shells-from-exchange-server-attacks/
2. https://krebsonsecurity.com/2021/03/at-least-30000-u-s-organizations-newly-hacked-via-holes-in-microsofts-email-software/
3. https://www.huntress.com/blog/rapid-response-mass-exploitation-of-on-prem-exchange-servers
4. https://proxylogon.com/

CVE-2021-27065

웹쉘, 가능한 압축 파일 및 로그를 탐지하기 위한 빠른 한 줄 PowerShell 스크립트입니다. 각 스크립트를 실행하면 C: 드라이브의 루트에 있는 temp 폴더에 CSV로 출력됩니다.

빠른 코드 설명:

CompedFiles.ps1

1. 지정된 경로에서 시작합니다.
2. 각 폴더를 탐색하며 그 안의 파일을 찾습니다.
3. 찾은 각 파일에 대해 패턴 "\w*://\w/<\w*\s.<.>"을 확인합니다.
4. 일치하는 항목이 있으면 해당 파일의 경로와 발견된 줄을 선택합니다.
5. 선택 후 C: 드라이브의 루트에 있는 temp 폴더의 CSV에 기록합니다.

LogChecker

1. 지정된 경로에서 시작합니다.
2. 각 폴더를 탐색하며 그 안의 파일을 찾습니다.
3. 찾은 각 파일에 대해 패턴 "Set-OabVirtualDirectory"을 확인합니다.
   1. 원하는 것보다 더 많은 결과가 나올 수 있지만, 현재로서는 최선의 방법입니다.
4. 일치하는 항목이 있으면 해당 파일의 경로와 발견된 줄을 선택합니다.
5. 선택 후 C: 드라이브의 루트에 있는 temp 폴더의 CSV에 기록합니다.

PossibleExfil

1. C: 드라이브의 루트에서 시작합니다.
2. 모든 디렉터리에서 파일 확장자가 zip, tar, gzip, 7z, rar, _dmp_인 항목을 검색합니다.
   1. zip -- 서버에서 압축되어 유출되었을 수 있는 파일
   2. tar -- 서버에서 tar로 묶여 유출되었을 수 있는 폴더
   3. gzip -- 서버에서 gzip으로 압축되어 유출되었을 수 있는 파일
   4. 7z -- 서버에서 7z로 압축되어 유출되었을 수 있는 파일
   5. rar -- 서버에서 rar로 압축되어 유출되었을 수 있는 파일
   6. dmp -- 가능한 프로세스 덤프
3. 물론 검토할 필요가 있는 것보다 훨씬 더 많은 결과가 나올 것입니다.
4. 결과는 C: 드라이브의 루트에 있는 temp 폴더의 CSV에 출력됩니다.
   1. CSV 파일이므로 날짜별로 정렬할 수 있다는 장점이 있습니다.
      1. 저희 검사는 작년 9월까지 거슬러 올라가는 항목을 포함했습니다. 작년 10월까지의 보고가 있었기 때문입니다.

Get AdUsers / Groups

1. 이 스크립트는 AD 그룹과 AD 사용자를 쿼리합니다.
2. 이를 사용하여 해커가 AD 그룹을 변경했거나 새로운 관리자 사용자를 생성했는지 확인할 수 있습니다.
3. 결과는 C: 드라이브의 루트에 있는 temp 폴더의 CSV에 출력됩니다.