Mr.Kaplan

Описание

MrKaplan — это инструмент, предназначенный для помощи red team в сохранении скрытности путем удаления следов выполнения. Он работает, сохраняя такую информацию, как время запуска, снимки файлов и связывая каждое свидетельство с соответствующим пользователем.

Этот инструмент вдохновлён MoonWalk — аналогичным инструментом для Unix-машин.

Подробнее можно прочитать на странице wiki.

Возможности

• Остановка журналирования событий.
• Очистка артефактов файлов.
• Очистка артефактов реестра.
• Может работать для нескольких пользователей.
• Может запускаться от имени пользователя и администратора (настоятельно рекомендуется запускать от имени администратора).
• Может сохранять временные метки файлов.
• Может исключать определённые операции и оставлять артефакты для blue team.

Использование

• Перед началом операций на компьютере запустите MrKaplan с флагом begin, а когда закончите, запустите его снова с флагом end.
• НЕ УДАЛЯЙТЕ файл MrKaplan-Config.json до повторного запуска с флагом end, иначе MrKaplan не сможет использовать сохранённую информацию.

Индикаторы компрометации (IOCs)

• Процесс PowerShell, обращающийся к артефактам, упомянутым на странице wiki.

• PowerShell, импортирующий странный base64-блоб.

• Процесс PowerShell, выполняющий манипуляции с токенами.

• Ключ реестра MrKaplan: HKCU:\Software\MrKaplan.

Благодарности

• PowerSploit

• Phant0m

• ForensicArtifacts

Отказ от ответственности

Я никоим образом не несу ответственности за любой вид ущерба, нанесённого вашему компьютеру/программе в результате использования этого проекта. Я с радостью принимаю вклад; создайте pull request, и я его рассмотрю!