CVE-2022-47966_checker

Быстрый и грязный PowerShell-скрипт для поиска IOCs уязвимости CVE-2022-47966 в ManageEngine. Скрипт анализирует запросы в HTTP-журналах доступа ME. Если обнаружен характерный SAML-запрос, скрипт пытается декодировать и извлечь полезную нагрузку атакующего. Результаты записываются в C:\aceresponder_CVE-2022-47966_checker.csv. Запустите от имени администратора.

Честное предупреждение: эти журналы не хранятся долго, если у вас есть сервер ManageEngine с доступом в интернет. Отсутствие IOCs не означает, что вы в безопасности. Проверьте самый старый файл журнала в C:\Program Files\ManageEngine\ServiceDesk\logs\access\ для подтверждения. Убедитесь, что ваши оповещения актуальны, и ищите любую подозрительную активность от учётной записи компьютера ManageEngine и/или Java-процесса ME. https://github.com/SigmaHQ/sigma/blob/master/rules/windows/process_creation/proc_creation_win_susp_manageengine_pattern.yml