Ps-Tools, 고급 프로세스 모니터링 툴킷 (공격적 작전용)

작전 중 침투한 시스템에 대한 기술적인 이해를 갖추는 것은 다음 단계를 결정하는 핵심 요소입니다. 손상된 시스템에서 실행 중인 프로세스 데이터를 수집하고 분석하면 풍부한 정보를 얻을 수 있으며, 대상 조직의 IT 환경이 어떻게 구성되어 있는지 더 잘 이해할 수 있습니다. 또한 주기적으로 프로세스 데이터를 폴링(poll)하면 환경 내 변경 사항에 대응하거나 조사가 진행 중일 때 트리거를 제공할 수 있습니다.

손상된 엔드포인트에서 상세한 프로세스 데이터를 수집하기 위해, 고급 프로세스 유틸리티의 기능을 C2 프레임워크(예: Cobalt Strike)로 가져오는 프로세스 도구 모음을 작성했습니다.

도구 및 사용된 기법에 대한 자세한 내용은 다음 블로그에서 확인할 수 있습니다: https://outflank.nl/blog/2020/03/11/red-team-tactics-advanced-process-monitoring-techniques-in-offensive-operations/

툴킷에 포함된 기능은 다음과 같습니다:

Psx: 시스템에서 실행 중인 모든 프로세스의 상세 목록을 표시합니다.
Psk: 로드된 드라이버 모듈을 포함한 상세한 커널 정보를 표시합니다.
Psc: 설정된 TCP 연결이 있는 모든 프로세스의 상세 목록을 표시합니다.
Psm: 특정 프로세스 ID의 상세 모듈 정보(로드된 모듈, 네트워크 연결 등)를 표시합니다.
Psh: 특정 프로세스 ID의 상세 핸들 정보(개체 핸들, 네트워크 연결 등)를 표시합니다.
Psw: 활성 창이 있는 프로세스의 창 제목을 표시합니다.

사용법:

Outflank-Ps-Tools 폴더를 다운로드하고 Cobalt Strike 스크립트 관리자 내에서 Ps-Tools.cna 스크립트를 로드하세요.
Beacon help 명령을 사용하여 구문 정보를 확인하세요.

이 프로젝트는 C/C++로 작성되었습니다.
Visual Studio를 사용하여 소스에서 리플렉티브 DLL을 컴파일할 수 있습니다.

크레딧

작성자: Cornelis de Plaa (@Cneelis) / Outflank

특별 감사: Stan Hegt (@StanHacked) 및 Outflank의 다른 훌륭한 동료들