Meerkat

Meerkat é uma coleção de módulos PowerShell projetados para coleta de artefatos e reconhecimento de endpoints baseados em Windows sem exigir um agente pré-implantado. Casos de uso incluem triagem de resposta a incidentes, caça a ameaças, monitoramento de linha de base, comparações de instantâneos e muito mais.

Artefatos

Informações do Host	Adaptadores de Rede	Processos*	Serviços	Arquivos
Política de Auditoria	Regras do Firewall do Windows	DLLs*	Usuários Locais	ADS
Discos	Portas	Strings*	Grupos Locais	Lixeira
Hotfixes	ARP	Handles*	Tarefas Agendadas	Arquivo Hosts
TPM	DNS	EnvVars	Autoruns	Certificados
Software	Rotas de Rede	Sessões	Bitlocker	Selecionar Registro
Hardware	Compartilhamentos	Informações de Domínio	Defender	Logs de Eventos
Drivers		USBHistory	Metadados de Logs de Eventos	Eventos Relacionados a Falhas de Login
				Eventos Relacionados ao Gerenciamento de Usuários/Grupos
				Metadados de Logs de Eventos

• Ingestão usando seu SIEM de escolha (Confira o repositório SIEM!)

---

Índice

• Início Rápido
• Uso
• Análise
• Solução de Problemas
• Capturas de Tela
• Projetos Similares

---

Início Rápido

Requisitos

• Requer PowerShell 5.0 ou superior no dispositivo de "varredura".
• Requer PowerShell 3.0 ou superior nos sistemas de destino. Você pode tornar isso compatível com versões anteriores até o PowerShell 2.0 substituindo instâncias de "Get-CIMinstance" por "Get-WMIObject"
• Requer acesso WinRM.

Instalar com Git

Em um console de Comando ou PowerShell, digite o seguinte...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

Para atualizar...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

Instalar com PowerShell

Copie/cole isso em um console PowerShell

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

Para atualizar, basta executar o mesmo bloco de comandos novamente.

As funções também podem ser usadas abrindo o arquivo .psm1 e copiando/colando todo o seu conteúdo em um console PowerSell.

Executar Meerkat

Este comando enviará os resultados para C:\Users\YourName\Meerkat\

Invoke-Meerkat

NOTA: Os seguintes módulos não retornarão resultados se não forem executados com privilégios administrativos

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

Análise

Metodologias e técnicas de análise são fornecidas nas páginas da Wiki.

Solução de Problemas

Instalando um Módulo PowerShell

Se o seu sistema não carregar automaticamente os módulos no seu perfil de usuário, talvez seja necessário importar o módulo manualmente.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

Recomenda-se adotar a seguinte abordagem para ajudar a localizar onde reside o problema real.

TESTE 1 – O MEERKAT FUNCIONA LOCALMENTE?

• Teste o Meerkat no sistema local
  • Invoke-Meerkat

TESTE 2 – A VARREDURA REMOTA FUNCIONA?

Nota: Execute este teste com uma conta que tenha direitos de administrador local no sistema de destino.

• Teste o Meerkat contra um sistema Windows remoto
  • Invoke-Meerkat -Computer RemoteName