Meerkat

미어캣(Meerkat)은 사전 배포된 에이전트 없이 Windows 기반 엔드포인트의 아티팩트 수집 및 정찰을 위해 설계된 PowerShell 모듈 모음입니다. 사용 사례로는 침해 대응 트라이지, 위협 헌팅, 기준 모니터링, 스냅샷 비교 등이 있습니다.

아티팩트

• 선택한 SIEM을 사용하여 수집 (SIEM 저장소를 확인하세요!)

Index

• 빠른 시작
• 사용법
• 분석
• 문제 해결
• 스크린샷
• 유사 프로젝트

Quick Start

요구 사항

• "스캔" 장치에 PowerShell 5.0 이상 필요.
• 대상 시스템에 PowerShell 3.0 이상 필요. "Get-CIMinstance"를 "Get-WMIObject"로 바꾸면 PowerShell 2.0과도 호환 가능.
• WinRM 액세스 필요.

Git을 사용한 설치

명령 프롬프트 또는 PowerShell 콘솔에서 다음을 입력합니다...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

업데이트하려면...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

PowerShell을 사용한 설치

PowerShell 콘솔에 복사/붙여넣기

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

업데이트하려면 동일한 명령 블록을 다시 실행하면 됩니다.

함수는 .psm1 파일을 열고 내용 전체를 PowerShell 콘솔에 복사/붙여넣기하여 사용할 수도 있습니다.

Run Meerkat

이 명령은 결과를 C:\Users\YourName\Meerkat\ 에 출력합니다.

Invoke-Meerkat

참고: 다음 모듈은 관리자 권한으로 실행되지 않으면 결과를 반환하지 않습니다.

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

분석

분석 방법론과 기술은 Wiki 페이지에서 제공됩니다.

문제 해결

PowerShell 모듈 설치

시스템이 사용자 프로필에서 모듈을 자동으로 로드하지 않는 경우, 모듈을 수동으로 가져와야 할 수 있습니다.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

실제 문제가 어디에 있는지 파악하는 데 도움이 되도록 다음 접근 방식을 권장합니다.

테스트 1 – 로컬에서 미어캣이 작동합니까?

• 로컬 시스템에 대해 미어캣을 테스트합니다.
  • Invoke-Meerkat

테스트 2 – 원격 스캔이 작동합니까?

참고: 대상 시스템에 로컬 관리자 권한이 있는 계정으로 이 테스트를 수행합니다.

• 원격 Windows 시스템에 대해 미어캣을 테스트합니다.
  • Invoke-Meerkat -Computer RemoteName

테스트 3 – 예약 작업과 MSA를 생성할 수 있습니까?

• 미어캣 관련 기존 예약 작업을 제거합니다.
• 미어캣 관련 MSA를 제거합니다.
• Schedule-Meerkat.ps1 파일을 구성한 후 실행합니다.

테스트 4 – Meerkat-Task.ps1이 작동합니까?

참고: 대상 시스템에 로컬 관리자 권한이 있는 계정으로 이 테스트를 수행합니다.

• OPTION 1 (로컬 호스트)로 Meerkat-Task.ps1 파일을 구성합니다.

• 스크립트를 수동으로 실행합니다.

테스트 5 – 예약 작업과 MSA가 작동합니까?

• 예약 작업을 통해 Meerkat-Task.ps1 스크립트를 실행합니다.

실패할 경우:

• 원격 호스트에서 WinRM이 활성화되어 있는지 확인합니다.
• MSA에 원격 호스트에 대한 로컬 관리자 권한이 있는지 확인합니다.

테스트 6 – Meerkat-Task.ps1이 원격에서 작동합니까?

• OPTION 3 (원격 호스트, 매일)로 Meerkat-Daily-Task.ps1 파일을 구성합니다.

  • hosts.txt에 원격 호스트를 지정합니다.
  • 원격 시스템에 로컬 관리자 권한이 있는 계정으로 스크립트를 수동으로 실행합니다.

테스트 7 – MSA에 원격 호스트에 대한 적절한 권한이 있습니까?

• OPTION 3 (원격 호스트, 매일)로 Meerkat-Task.ps1 파일을 구성합니다.

  • hosts.txt에 원격 호스트를 지정합니다.
  • 예약 작업을 통해 Meerkat-Task.ps1 스크립트를 실행합니다.

테스트 8 – 이제 모든 것이 작동합니까?

• OPTION 2 (완전 자동화된 도메인 스캔)로 Meerkat-Task.ps1 파일을 구성합니다.

  • 원격 시스템에 로컬 관리자 권한이 있는 계정으로 스크립트를 수동으로 실행합니다.
  • 예약 작업을 통해 Meerkat-Task.ps1 스크립트를 실행합니다.

새 모듈 추가

• 새 .psm1 파일을 생성합니다. 가능하면 기존 모듈을 복사하여 유사한 로직을 시작점으로 사용하는 것이 좋습니다.
  • 모듈 이름을 업데이트합니다.
  • 찾기 및 바꾸기를 사용하여 템플릿 이름의 모든 인스턴스를 바꿉니다.
  • Synopsis, Description, Parameters, Examples, Notes 섹션을 업데이트합니다.
  • process{} 로직을 새 로직으로 바꿉니다. 일치하는 PowerShell 개체 배열을 반환하는지 확인합니다.
  • 모듈을 적절한 이름으로 저장합니다.
• 새 모듈 이름을 Meerkat.psd1에 추가합니다. 수동으로 수행하거나 /Utilities/Generate-ModuleManifest.ps1을 실행하여 수행할 수 있습니다.
• 이 README.md의 테이블에 새 모듈을 추가합니다.
  • 아티팩트 테이블에 추가합니다.
• 새 모듈을 Invoke-Meerkat.psm1에 추가합니다.
  • 매개 변수 m/mod/modules에 ValidateSet과 $Modules 배열 자체를 모두 추가합니다.
  • begin{}에서 $ModuleCommandArray에 추가합니다.
  • begin{}에서 if ($All) {} 코드 블록에 추가합니다.
  • 모듈 실행에 몇 초 이상 걸리는 경우 if ($Quick) { 코드 블록에도 추가합니다. 이렇게 하면 사용자가 -Fast를 호출할 때 실행되지 않습니다.

스크린샷

"Invoke-Meerkat" 명령의 출력

출력 파일

유사 프로젝트

• https://github.com/travisfoley/dfirtriage
• https://github.com/Invoke-IR/PowerForensics
• https://github.com/PowerShellMafia/CimSweep
• https://www.crowdstrike.com/resources/community-tools/crowdresponse/
• https://github.com/gfoss/PSRecon/
• https://github.com/n3l5/irCRpull
• https://github.com/davehull/Kansa/
• https://github.com/WiredPulse/PoSh-R2
• https://github.com/google/grr
• https://github.com/diogo-fernan/ir-rescue
• https://github.com/SekoiaLab/Fastir_Collector
• https://github.com/AlmCo/Panorama
• https://github.com/certsocietegenerale/FIR
• https://github.com/securycore/Get-Baseline
• https://github.com/Infocyte/PSHunt
• https://github.com/giMini/NOAH
• https://github.com/A-mIn3/WINspect
• https://learn.duffandphelps.com/kape
• https://www.brimorlabs.com/tools/

미어캣의 차별점은?

• 가벼움. 플로피 디스크에 들어갑니다!
• 대상에 미치는 영향이 거의 없음.
• PowerShell 및 WMI/CIM 활용.
• 코딩 스타일은 적절한 코드 리뷰, 학습 및 "차용"을 장려합니다.
• DLL 또는 컴파일된 구성 요소 없음.
• 표준화된 출력 - 기본값은 .csv이며, json, xml 등을 쉽게 지원할 수 있음.