Mr.Kaplan

Descrição

MrKaplan é uma ferramenta concebida para ajudar os red teamers a permanecerem ocultos, limpando evidências de execução. Funciona guardando informações como o momento da execução, um instantâneo dos ficheiros e associando cada evidência ao utilizador relacionado.

Esta ferramenta é inspirada no MoonWalk, uma ferramenta semelhante para máquinas Unix.

Pode ler mais sobre isto na página da wiki.

Funcionalidades

• Parar o registo de eventos.
• Limpar artefactos de ficheiros.
• Limpar artefactos de registo.
• Pode ser executado para vários utilizadores.
• Pode ser executado como utilizador e como administrador (altamente recomendado executar como administrador).
• Pode guardar marcas temporais dos ficheiros.
• Pode excluir certas operações e deixar artefactos para as blue teams.

Utilização

• Antes de iniciar as suas operações no computador, execute o MrKaplan com a flag begin e, quando terminar, execute-o novamente com a flag end.
• NÃO REMOVA o ficheiro MrKaplan-Config.json até executar novamente com a flag end, caso contrário, o MrKaplan não conseguirá utilizar as informações.

IOCs

• Processo do PowerShell que acede aos artefactos mencionados na página da wiki.

• PowerShell a importar um estranho blob base64.

• Processo do PowerShell que efetua manipulação de tokens.

• Chave de registo do MrKaplan: HKCU:\Software\MrKaplan.

Agradecimentos

• PowerSploit

• Phant0m

• ForensicArtifacts

Aviso legal

Não sou responsável de forma alguma por qualquer tipo de dano causado ao seu computador/programa como resultado deste projeto. Aceito contribuições com satisfação, faça um pull request e irei revê-lo!