Mr.Kaplan

설명

MrKaplan은 실행 증거를 제거하여 레드 팀원들이 은닉을 유지할 수 있도록 돕는 도구입니다. 실행 시간, 파일 스냅샷 등의 정보를 저장하고 각 증거를 관련 사용자와 연결하는 방식으로 작동합니다.

이 도구는 Unix 시스템용 유사한 도구인 MoonWalk에서 영감을 받았습니다.

자세한 내용은 wiki 페이지에서 확인할 수 있습니다.

기능

• 이벤트 로깅 중지.
• 파일 아티팩트 정리.
• 레지스트리 아티팩트 정리.
• 다중 사용자에 대해 실행 가능.
• 사용자 및 관리자 권한으로 실행 가능 (관리자 권한 실행을 강력히 권장).
• 파일 타임스탬프 저장 가능.
• 특정 작업을 제외하고 블루 팀에 아티팩트를 남길 수 있음.

사용법

• 컴퓨터에서 작업을 시작하기 전에 begin 플래그로 MrKaplan을 실행하고, 작업이 완료되면 end 플래그로 다시 실행하십시오.
• end 플래그로 다시 실행하기 전까지 MrKaplan-Config.json 파일을 삭제하지 마십시오, 그렇지 않으면 MrKaplan이 정보를 사용할 수 없습니다.

IOCs

• 위키 페이지에서 언급된 아티팩트에 접근하는 PowerShell 프로세스.
• 이상한 base64 blob을 가져오는 PowerShell.
• 토큰 조작을 수행하는 PowerShell 프로세스.
• MrKaplan의 레지스트리 키: HKCU:\Software\MrKaplan.

감사의 말

• PowerSploit

• Phant0m

• ForensicArtifacts

면책 조항

저는 이 프로젝트로 인해 발생하는 컴퓨터/프로그램의 어떤 종류의 손해에 대해서도 책임지지 않습니다. 기여는 환영합니다, 풀 리퀘스트를 보내주시면 검토하겠습니다!