soteria-security/hafnium-iocUm script PowerShell para identificar indicadores de exploração das CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 e CVE-2021-26865
Hafnium-IOC é um script simples do PowerShell que é executado em servidores Exchange para identificar indicadores de comprometimento (IOCs) da atividade Hafnium divulgada pela Microsoft em 02/03/2021 (https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/). O script pode ser atualizado para incluir mais IOCs à medida que mais informações forem disponibilizadas.
Hafnium-IOC está sob a licença MIT, salvo indicação contrária explícita.
Devido à natureza do Exchange, recomenda-se executar o script em todos os servidores Exchange se estiver usando um DAG. O script exibirá descobertas tanto no console quanto em um arquivo de log no diretório de trabalho atual. Essa configuração também é ajustável na definição de variáveis. O script é parametrizado para aceitar o caminho completo de um arquivo de log. Se nenhum caminho for fornecido, um arquivo de log será criado no diretório inicial do usuário com o nome yyyy_MM_dd HH.mm.ss-Hafnium_IOCs.txt.
Para executar o script, simplesmente:
.\HAFNIUM-Exchange-IOC
Ou para especificar um caminho de log diferente:
.\HAFNIUM-Exchange-IOC -logPath "C:\Temp\Hafnium_Results.log"