Meerkat

Meerkat é uma coleção de módulos PowerShell projetados para coleta de artefatos e reconhecimento de endpoints baseados em Windows sem exigir um agente pré-implantado. Casos de uso incluem triagem de resposta a incidentes, caça a ameaças, monitoramento de linha de base, comparações de instantâneos e muito mais.

Artefatos

• Ingestão usando seu SIEM de escolha (Confira o repositório SIEM!)

Índice

• Início Rápido
• Uso
• Análise
• Solução de Problemas
• Capturas de Tela
• Projetos Similares

Início Rápido

Requisitos

• Requer PowerShell 5.0 ou superior no dispositivo de "varredura".
• Requer PowerShell 3.0 ou superior nos sistemas de destino. Você pode tornar isso compatível com versões anteriores até o PowerShell 2.0 substituindo instâncias de "Get-CIMinstance" por "Get-WMIObject"
• Requer acesso WinRM.

Instalar com Git

Em um console de Comando ou PowerShell, digite o seguinte...

git clone "https://github.com/TonyPhipps/Meerkat" "C:\Program Files\WindowsPowerShell\Modules\Meerkat"

Para atualizar...

cd C:\Program Files\WindowsPowerShell\Modules\Meerkat
git pull

Instalar com PowerShell

Copie/cole isso em um console PowerShell

$Modules = "C:\Program Files\WindowsPowerShell\Modules\"
New-Item -ItemType Directory $Modules\Meerkat\ -force
Invoke-WebRequest https://github.com/TonyPhipps/Meerkat/archive/master.zip -OutFile $Modules\master.zip
Expand-Archive $Modules\master.zip -DestinationPath $Modules
Copy-Item $Modules\Meerkat-master\* $Modules\Meerkat\ -Force -Recurse
Remove-Item  $Modules\Meerkat-master -Recurse -Force

Para atualizar, basta executar o mesmo bloco de comandos novamente.

As funções também podem ser usadas abrindo o arquivo .psm1 e copiando/colando todo o seu conteúdo em um console PowerSell.

Executar Meerkat

Este comando enviará os resultados para C:\Users\YourName\Meerkat\

Invoke-Meerkat

NOTA: Os seguintes módulos não retornarão resultados se não forem executados com privilégios administrativos

• AuditPolicy
• Drivers
• EventsLoginFailures
• Hotfixes
• RegistryMRU
• Registry
• Processes
• RecycleBin

Análise

Metodologias e técnicas de análise são fornecidas nas páginas da Wiki.

Solução de Problemas

Instalando um Módulo PowerShell

Se o seu sistema não carregar automaticamente os módulos no seu perfil de usuário, talvez seja necessário importar o módulo manualmente.

Import-Module C:\Program Files\WindowsPowerShell\Modules\Meerkat\Meerkat.psm1

Recomenda-se adotar a seguinte abordagem para ajudar a localizar onde reside o problema real.

TESTE 1 – O MEERKAT FUNCIONA LOCALMENTE?

• Teste o Meerkat no sistema local
  • Invoke-Meerkat

TESTE 2 – A VARREDURA REMOTA FUNCIONA?

Nota: Execute este teste com uma conta que tenha direitos de administrador local no sistema de destino.

• Teste o Meerkat contra um sistema Windows remoto
  • Invoke-Meerkat -Computer RemoteName

TESTE 3 – VOCÊ CONSEGE CRIAR A TAREFA AGENDADA E A MSA?

• Remova quaisquer Tarefas Agendadas existentes relacionadas ao Meerkat
• Remova quaisquer MSAs relacionadas ao Meerkat
• Configure o arquivo Schedule-Meerkat.ps1 e execute-o.

TESTE 4 – O MEERKAT-TASK.PS1 FUNCIONA?

Nota: Execute este teste com uma conta que tenha direitos de administrador local no sistema de destino.

• Configure o arquivo Meerkat-Task.ps1 com # OPTION 1 (host local)
• Execute o script manualmente.

TESTE 5 – A TAREFA AGENDADA E A MSA FUNCIONAM?

• Execute o script Meerkat-Task.ps1 via Tarefas Agendadas.

Se isso falhar:

• Certifique-se de que o WinRM está habilitado no host remoto
• Certifique-se de que a MSA tem direitos de administrador local no host remoto

TESTE 6 – O MEERKAT-TASK.PS1 FUNCIONA REMOTAMENTE?

• Configure o arquivo Meerkat-Daily-Task.ps1 com # OPTION 3 (host remoto, Diário)
  • Especifique um host remoto em hosts.txt
  • Execute o script manualmente com uma conta que tenha administrador local no sistema remoto.

TESTE 7 – A MSA TEM PERMISSÕES ADEQUADAS EM HOSTS REMOTOS?

• Configure o arquivo Meerkat-Task.ps1 com # OPTION 3 (host remoto, Diário)
  • Especifique um host remoto em hosts.txt
  • Execute o script Meerkat-Task.ps1 via Tarefas Agendadas.

TESTE 8 – TUDO FUNCIONA AGORA?

• Configure o arquivo Meerkat-Task.ps1 com # OPTION 2 (varredura de domínio totalmente automatizada)
  • Execute o script manualmente com uma conta que tenha administrador local no sistema remoto.
  • Execute o script Meerkat-Task.ps1 via Tarefas Agendadas.

Adicionando um Novo Módulo

• Crie o novo arquivo .psm1, preferencialmente copiando um módulo existente com lógica suficientemente semelhante e usando-o como ponto de partida.
  • Atualize o nome do módulo
  • Usando localizar e substituir, substitua todas as instâncias do nome do modelo
  • Atualize as seções Synopsis, Description, Parameters, Examples e Notes
  • Substitua a lógica process{} pela nova lógica. Certifique-se de que retorna uma matriz de objetos PowerShell correspondentes.
  • Salve o módulo com um nome apropriado.
• Adicione o nome do novo módulo ao Meerkat.psd1. Isso pode ser feito manualmente ou executando /Utilities/Generate-ModuleManifest.ps1
• Adicione o novo módulo à tabela neste README.md
  • Adicione à tabela de Artefatos.
• Adicione o novo módulo ao Invoke-Meerkat.psm1
  • Adicione ao Parâmetro m/mod/modules, incluindo tanto o ValidateSet quanto o array $Modules.
  • Em begin{}, adicione a $ModuleCommandArray
  • Em begin{}, adicione ao bloco de código if ($All) {}
  • Se o módulo levar mais do que alguns segundos, adicione também ao bloco de código if ($Quick) {. Isso impede que ele seja executado quando o usuário invoca -Fast

Capturas de Tela

Saída do Comando "Invoke-Meerkat"

Arquivos de Saída

Projetos Similares

• https://github.com/travisfoley/dfirtriage
• https://github.com/Invoke-IR/PowerForensics
• https://github.com/PowerShellMafia/CimSweep
• https://www.crowdstrike.com/resources/community-tools/crowdresponse/
• https://github.com/gfoss/PSRecon/
• https://github.com/n3l5/irCRpull
• https://github.com/davehull/Kansa/
• https://github.com/WiredPulse/PoSh-R2
• https://github.com/google/grr
• https://github.com/diogo-fernan/ir-rescue
• https://github.com/SekoiaLab/Fastir_Collector
• https://github.com/AlmCo/Panorama
• https://github.com/certsocietegenerale/FIR
• https://github.com/securycore/Get-Baseline
• https://github.com/Infocyte/PSHunt
• https://github.com/giMini/NOAH
• https://github.com/A-mIn3/WINspect
• https://learn.duffandphelps.com/kape
• https://www.brimorlabs.com/tools/

O que faz o Meerkat se destacar?

• Leve. Cabe em um disquete!
• Pouquíssima pegada/impacto nos alvos.
• Aproveita PowerShell e WMI/CIM.
• O estilo de codificação incentiva revisão de código, aprendizado e 'empréstimo'.
• Sem DLLs ou componentes compilados.
• Saída padronizada - padrão é .csv, e pode facilmente suportar json, xml, etc.