NorkNork - Empire 지속성 페이로드를 식별하는 도구

https://www.n00py.io/2017/01/removing-backdoors-powershell-empire-edition/

정보:

이 스크립트는 Windows 시스템에서 PowerShell Empire 지속성 페이로드를 식별하기 위해 설계되었습니다.
현재 다음 지속성 방법에 대한 검사를 지원합니다:

• 예약된 작업
• 자동 실행
• WMI 구독
• 보안 지원 공급자
• 접근성 센터 백도어
• 컴퓨터 계정 암호 비활성화

설치:

이 스크립트는 Python 2.7로 실행하거나 pyinstaller exe를 다운로드하여 실행할 수 있습니다. Powershell 창에서 바이너리 또는 스크립트를 실행하세요.

사용법:

Python 스크립트 실행

PS C:\Users\>python norknork.py

바이너리 실행

PS C:\Users\> .\norknork.exe

데이터를 텍스트 파일로 저장

PS C:\Users\> .\norknork.exe > results.txt

FAQ:

Q: 왜 이걸 파워쉘로 만들지 않으셨나요?

A: 파워쉘을 배우기에는 너무 게을렀습니다.

Q: 이 도구가 모든 지속성 방법을 찾을 수 있나요?

A: 아닙니다, 오직 PowerShell Empire에 있는 것들 중에서 재부팅을 통해 지속되는 것들만 찾을 수 있습니다.