Forensia

Анти-криминалистический инструмент для Red Team, используемый для стирания некоторых следов на этапе пост-эксплуатации.

Уменьшает время жизни полезной нагрузки и увеличивает время до обнаружения. Может использоваться для проверки возможностей ваших команд реагирования на инциденты / криминалистики.

Возможности

• Выгрузка драйвера Sysmon.
• Шрединг файлов методом Гутмана.
• Отключение USNJrnl.
• Отключение Prefetch.
• Стирание логов и отключение журнала событий.
• Отключение обновления времени User Assist.
• Отключение времени доступа.
• Очистка недавних элементов.
• Очистка кэша Shim.
• Очистка RecentFileCache.
• Очистка ShellBag.
• Удаление файлов карантина Windows Defender.
• Возможность плавления файлов.

Важное обновление

Добавлено:

• Очистка недавних элементов.
• Очистка кэша Shim.
• Очистка RecentFileCache.
• Очистка ShellBag.
• Очистка файлов карантина.

Планы

• Выполнение USNJRnl на всех дисковых накопителях.

• Перезапись нераспределенного пространства.

• Немного полировки.

Благодарности

https://github.com/Naranbataar/Corrupt

https://github.com/LloydLabs/delete-self-poc

https://github.com/OsandaMalith/WindowsInternals/blob/master/Unload_Minifilter.c

https://stackoverflow.com/users/15168/jonathan-leffler

https://github.com/GiovanniDicanio/WinReg