killswitch-gui/persistence-survivabilityPowershell Persistence Locator
이 프로젝트는 Duqu 스타일의 지속성을 TTP로 사용하며 Bsides Augusta – RAT에서 발표되었습니다. 이 프로젝트는 PowerShell 기반이며 자격 증명을 사용하거나 사용하지 않고 사용할 수 있습니다. 자세한 내용은 .ps1 파일을 읽어보세요.
Invoke-FindPersitence
Invoke-FindPersitence -MaxHosts 100 -Top 5
Invoke-FindPersitence -Domain tester.org -OperatingSystem *7*
Invoke-FindPersitence -Domain tester.org -OperatingSystem *2008* -Top 3 -Jit 2 -Delay 5 -ADSPath "LDAP://OU=iis=servers=,DC=testlab,DC=Local" -Threads 10
현재 값 기반 지원 원격 쿼리:
현재 부울 기반 지원 원격 쿼리:
| 쿼리 | 영향 | 구현됨 |
|---|---|---|
| WmiPortableOS | 임플란트 위치 | 예 |
| WmiVMChecks | 데이터 진위 여부 | 예 |
| WmiLogging | 로깅의 알림 | 아니요 |
PS C:\Users\Administrator\Desktop> Invoke-FindPersitence
[*] Top Server locations based on Persistence Survivability rating:
[*] Top Desktop locations based on Persistence Survivability rating:
[*] Top VM locations based on Persistence Survivability rating:
NetBIOSName : ALEX32-PC.tester.org
IpAddress : 172.16.168.136
LastBoot : 20160509061014.500000-420
InstallDate : 20150707115729.000000-420
OSArch : 64-bit
ServerType : 1
SystemEnclosure : 1
RamSize : 2
DiskSize : 38.6479606628418
ProcessorSpeed : 2999
ProcessorLogicalCores : 1
ProcessorCores : 1
ProcessCount : 38
PortableOS :
VMware : True
LastBootV : 0.3
InstallDateV : 0.4
OSArchV : 0.3
ServerTypeV : 0.33
SystemEnclosureV : 0.1
DiskSizeV : 0.3
RamSizeV : 0.5
ProcessorSpeedV : 1
ProcessorLogicalCoreV : 0.3
ProcessCountV : 1
LastBootWV : 0.12
InstallDateWV : 0.02
OSArchWV : 0.015
ServerTypeWV : 0.033
SystemEnclosureWV : 0.01
DiskSizeWV : 0.015
RamSizeWV : 0.1
ProcessorSpeedWV : 0.05
ProcessorLogicalCoreWV : 0.015
ProcessCountWV : 0.05
PersistenceSurvivability : 0.378
NetBIOSName : ALEX2-PC.tester.org
IpAddress : 172.16.168.160
LastBoot : 20160508162848.500000-420
InstallDate : 20150707115729.000000-420
OSArch : 64-bit
ServerType : 1
SystemEnclosure : 1
RamSize : 2
DiskSize : 48.5253257751465
ProcessorSpeed : 2999
ProcessorLogicalCores : 1
ProcessorCores : 1
ProcessCount : 32
PortableOS :
VMware : True
LastBootV : 0.3
InstallDateV : 0.4
OSArchV : 0.3
ServerTypeV : 0.33
SystemEnclosureV : 0.1
DiskSizeV : 0.3
RamSizeV : 0.5
ProcessorSpeedV : 1
ProcessorLogicalCoreV : 0.3
ProcessCountV : 1
LastBootWV : 0.12
InstallDateWV : 0.02
OSArchWV : 0.015
ServerTypeWV : 0.033
SystemEnclosureWV : 0.01
DiskSizeWV : 0.015
RamSizeWV : 0.1
ProcessorSpeedWV : 0.05
ProcessorLogicalCoreWV : 0.015
ProcessCountWV : 0.05
PersistenceSurvivability : 0.378
NetBIOSName : WIN-2PNK85BO0TD.tester.org
IpAddress : {fe80::9a7:551a:2614:ae6c%12, 172.16.168.223}
LastBoot : 20160227200724.489034-480
InstallDate : 20150707115648.000000-420
OSArch : 64-bit
ServerType : 2
SystemEnclosure : 1
RamSize : 2
DiskSize : 43.868766784668
ProcessorSpeed : 2999
ProcessorLogicalCores : 1
ProcessorCores : 1
ProcessCount : 73
PortableOS : False
VMware : True
LastBootV : 0.85
InstallDateV : 0.4
OSArchV : 0.3
ServerTypeV : 0.66
SystemEnclosureV : 0.1
DiskSizeV : 0.3
RamSizeV : 0.5
ProcessorSpeedV : 1
ProcessorLogicalCoreV : 0.3
ProcessCountV : 1
LastBootWV : 0.34
InstallDateWV : 0.02
OSArchWV : 0.015
ServerTypeWV : 0.066
SystemEnclosureWV : 0.01
DiskSizeWV : 0.015
RamSizeWV : 0.1
ProcessorSpeedWV : 0.05
ProcessorLogicalCoreWV : 0.015
ProcessCountWV : 0.05
PersistenceSurvivability : 0.631
[*] Overall Persistence Survivability stats:
Total number of hosts: 3
Total VMware hosts: 3
Total Desktop hosts: 0
Total Server hosts: 0
Survivability mean: 46 %
파일: Persistence-Survivability 저자: Alexander Rymdeko-Harvey(@Killswitch-GUI) 라이선스: BSD 3-Clause
저작권 (c) 2016, Alexander Rymdeko-Harvey 모든 권리 보유.
소스 및 바이너리 형태의 재배포 및 사용은 수정 여부와 관계없이 다음 조건이 충족되는 경우 허용됩니다:
본 소프트웨어는 저작권 보유자 및 기여자가 "있는 그대로" 제공하며, 상품성 및 특정 목적 적합성에 대한 묵시적 보증을 포함하되 이에 국한되지 않는 모든 명시적 또는 묵시적 보증은 부인됩니다. 어떠한 경우에도 저작권 소유자 또는 기여자는 직접, 간접, 우발적, 특별, 예시적 또는 결과적 손해(대체 상품 또는 서비스의 조달, 사용, 데이터 또는 이익의 손실, 업무 중단을 포함하되 이에 국한되지 않음)에 대해 계약, 엄격한 책임 또는 불법 행위(과실 포함 또는 기타)에 따른 책임 이론에 의해서도, 그러한 손해의 가능성을 사전에 통보받은 경우에도, 본 소프트웨어 사용으로 인해 발생하는 모든 손해에 대해 책임을 지지 않습니다.
| 쿼리 | 가중치 | 구현됨 |
|---|
| WmiBootTime | 40% | 예 |
| WmiInstallDate | 5% | 예 |
| WmiOS | 5% | 예 |
| WmiServer | 10% | 예 |
| WmiRamSize | 5% | 예 |
| WmiArch | 5% | 예 |
| WmiDisk | 5% | 예 |
| WmiLProcessorCount | 5% | 예 |
| WmiProcessorCores | 5% | 예 |
| WmiProcessorSpeed | 5% | 예 |
| WmiProcessCount | 5% | 예 |
| WmiSystemEnclosure | 10% | 예 |
| WmiLoggedOnUsers | 중앙 | 아니요 |
| WmiCollectorService | 중앙 | 아니요 |
| WmiNICData | 중앙 | 아니요 |
| WmiAVQuery | 중앙 | 아니요 |
| WmiPowerSettings | 중앙 | 아니요 |
| WmiOSuite | 중앙 | 아니요 |
| WmiPointerDevice | 중앙 | 아니요 |