Forensia

레드 팀을 위한 안티 포렌식 도구로, 사후 침투 단계에서 일부 발자국을 지우는 데 사용됩니다.

페이로드 소진을 줄이고 탐지 카운트다운을 증가시킵니다. 사고 대응/포렌식 팀의 역량을 테스트하는 데 사용할 수 있습니다.

기능

• Sysmon 드라이버 언로드
• Gutmann 방법 파일 분쇄
• USNJrnl 비활성화
• Prefetch 비활성화
• 로그 지우개 및 이벤트 로그 비활성화
• User Assist 업데이트 시간 비활성화
• 액세스 시간 비활성화
• 최근 항목 지우기
• Shim 캐시 지우기
• RecentFileCache 지우기
• ShellBag 지우기
• Windows Defender 격리 파일 삭제
• 파일 용해 기능

중요 업데이트

추가됨:

• 최근 항목 지우기
• Shim 캐시 지우기
• RecentFileCache 지우기
• ShellBag 지우기
• 격리 파일 지우기

TODO

• 모든 디스크 드라이브에서 USNJrnl 실행

• 할당되지 않은 공간 다시 쓰기

• 약간의 다듬기

크레딧

https://github.com/Naranbataar/Corrupt

https://github.com/LloydLabs/delete-self-poc

https://github.com/OsandaMalith/WindowsInternals/blob/master/Unload_Minifilter.c

https://stackoverflow.com/users/15168/jonathan-leffler

https://github.com/GiovanniDicanio/WinReg