NorkNork - Ferramenta para identificar payloads de persistência do Empire

https://www.n00py.io/2017/01/removing-backdoors-powershell-empire-edition/

SOBRE:

Este script foi projetado para identificar payloads de persistência do Powershell Empire em sistemas Windows.
Atualmente, suporta verificações para estes métodos de persistência:

• Tarefas Agendadas
• Execução automática
• Assinaturas WMI
• Provedor de Suporte de Segurança
• Backdoors da Central de Facilidade de Acesso
• Desabilitação de senha de conta de máquina

INSTALAÇÃO:

Você pode executar este script com python 2.7 ou baixando o executável pyinstaller. Execute o binário ou o script em uma janela do powershell.

USO:

Executando o script python

PS C:\Users\>python norknork.py

Executando o binário

PS C:\Users\> .\norknork.exe

Salvar os dados em um arquivo de texto

PS C:\Users\> .\norknork.exe > results.txt

###PERGUNTAS FREQUENTES:

P: Por que você não criou isso simplesmente em powershell?

R: Eu estava com preguiça demais para aprender powershell.

P: Isso encontrará todos os métodos de persistência?

R: Não, apenas aqueles no Powershell Emprire e apenas aqueles que persistem através de reinicializações.