NorkNork - Инструмент для идентификации персистентных полезных нагрузок Empire

https://www.n00py.io/2017/01/removing-backdoors-powershell-empire-edition/

О ПРОГРАММЕ:

Этот скрипт предназначен для идентификации персистентных полезных нагрузок Powershell Empire в системах Windows.
В настоящее время он поддерживает проверку следующих методов персистентности:

• Запланированные задачи
• Автозапуск
• Подписки WMI
• Поставщик поддержки безопасности
• Бэкдоры в Центре специальных возможностей
• Отключение пароля учетной записи компьютера

УСТАНОВКА:

Вы можете запустить этот скрипт с помощью Python 2.7 или загрузив исполняемый файл pyinstaller. Запустите бинарный файл или скрипт в окне PowerShell.

ИСПОЛЬЗОВАНИЕ:

Запуск скрипта Python

PS C:\Users\>python norknork.py

Запуск бинарного файла

PS C:\Users\> .\norknork.exe

Сохранение данных в текстовый файл

PS C:\Users\> .\norknork.exe > results.txt

###Часто задаваемые вопросы:

Q: Почему вы не создали это просто в PowerShell?

A: Мне было лень изучать PowerShell.

Q: Найдет ли это все методы персистентности?

A: Нет, только те, что есть в Powershell Empire, и только те, которые сохраняются после перезагрузки.