Введение

С 2021 года я разработал ряд скриптов, помогающих мне в расследованиях и работах по устранению последствий. Я подумал: почему бы не поделиться ими с общественностью в надежде, что это вам поможет.

Как работают эти скрипты?

Разработанные мной скрипты предназначены для работы с Crowdstrike Endpoint Detection and Response (EDR). По сути, это облачные скрипты для быстрого удалённого устранения проблем на устройствах одним нажатием кнопки.

Зачем создавать эти скрипты?

Цель моих скриптов — помочь аналитику SOC или специалисту по реагированию на инциденты в их расследовании. Некоторые скрипты помогают устранять последствия конкретного нежелательного программного обеспечения/adware. Другие скрипты помогают исследовать конкретную систему по имени пользователя, обеспечивая большую видимость.

Содержание

Ручные облачные скрипты

• WinInspect - WinInspect — это легковесный инструмент, помогающий аналитику получить больше информации о системе Windows на основе целевого имени пользователя.
• MACInspect - MACInspect — это легковесный инструмент, помогающий аналитику получить больше информации о системе MAC на основе целевого имени пользователя.
• LinInspect - LinInspect — это легковесный инструмент, помогающий аналитику получить больше информации о системе Linux на основе целевого имени пользователя.
• EnumChromeExt - EnumChromeExt извлекает расширения Chrome и автоматически пытается определить их названия.
• Win-PortScanner - Win-PortScanner — это чрезвычайно лёгкий сканер портов.
• ScanDll - ScanDll — это инструмент для поиска в процессах конкретной библиотеки динамической компоновки.
• ScanDllv2 - ScanDllv2 — это инструмент, предназначенный для поиска в процессах конкретной библиотеки динамической компоновки с использованием C#. Он работает намного быстрее, чем ScanDll, но вывод записывается в лог-файл из-за проблем с отображением стандартного вывода в интерфейсе CrowdStrike RTR.
• RegScanner - Удивительно быстрый инструмент, предназначенный для поиска ключа или значения реестра по уникальному ключевому слову.
• Win-DiskImage-Toolkit - Простой инструмент для быстрого перечисления или размонтирования образа диска.
• ScreenConnect-C2Extractor - ScreenConnect-C2Extractor извлекает C2 из user.config ScreenConnect, также известного как ConnectWise Client.
• Win-PacketCapture - Пошаговый скрипт для создания дампа пакетов для анализа.
• EvidenceCollection - Этот скрипт собирает распространённые типы пользовательских документов — такие как файлы Word, таблицы Excel, текстовые файлы, PDF и электронные письма — из каталогов Downloads, Documents и Desktop указанного пользователя. Он автоматически создаёт каталог C:\temp\SIRT (если он ещё не существует) и копирует все подходящие файлы в это расположение для централизованного просмотра, сохранения доказательств или расследования инцидента. Типы файлов, каталоги и имя пользователя можно настроить в соответствии с потребностями конкретного случая.
• Win-DmpEventLogs - Win-DmpEventLogs — это чрезвычайно полезный криминалистический инструмент, позволяющий выгружать журналы событий Windows за указанный временной диапазон: 1 = last 24 hours, 7 = last week, 30 = last month, 0 = all events.. Для помощи в идентификации реализованы базовые правила.
• Win-EnumVsCodeExtension - Этот скрипт PowerShell перечисляет установленные расширения Visual Studio Code для указанной учётной записи пользователя, проверяя каталоги расширений VS Code и разбирая файл метаданных package.json каждого расширения.
• Win-datebased_filehunt — Этот скрипт PowerShell использует встроенный код C# для рекурсивного поиска на диске C:\ файлов, изменённых в определённую дату. Он записывает все найденные файлы, включая их полный путь, метку времени последнего изменения и размер файла, в лог-файл, расположенный по пути C:\Windows\Temp\hunter_log_results.log.
• Win-TokenImpersonateExec — Этот скрипт позволяет аналитикам выполнять команды в контексте безопасности указанного пользователя, используя его токен доступа. Используйте этот скрипт только при необходимости. Поскольку он выполняет команды в контексте безопасности целевого пользователя, его следует применять только в ситуациях, когда необходимо собрать артефакты, настройки или данные, специфичные для пользователя, и их невозможно получить через стандартный административный доступ или доступ на уровне SYSTEM.
• Win-EnumLockedFile — Этот скрипт использует Windows Restart Manager API для выявления процессов, которые в данный момент держат открытым или заблокированным указанный файл.

Прочие скрипты и утилиты