Mr.Kaplan

描述

MrKaplan 是一款旨在帮助红队隐藏执行痕迹的工具。它会保存诸如运行时间、文件快照等信息，并将每条证据与相应用户关联。

该工具灵感来源于 MoonWalk（一款适用于 Unix 机器的类似工具）。

你可以在维基页面上了解更多信息。

特性

• 停止事件日志记录。
• 清除文件痕迹。
• 清除注册表痕迹。
• 支持多个用户运行。
• 可以以用户和管理员身份运行（强烈建议以管理员身份运行）。
• 可以保存文件时间戳。
• 可以排除某些操作，为蓝队保留痕迹。

用法

• 在计算机上开始操作之前，使用 begin 标志运行 MrKaplan，操作完成后再次使用 end 标志运行。
• 在重新使用 end 标志运行之前，请勿删除 MrKaplan-Config.json 文件，否则 MrKaplan 将无法使用这些信息。

IOC

• 访问维基页面中提到的痕迹的 PowerShell 进程。
• 导入奇怪 base64 数据的 PowerShell 进程。
• 执行令牌操作的 PowerShell 进程。
• MrKaplan 的注册表项：HKCU:\Software\MrKaplan。

致谢

• PowerSploit
• Phant0m
• ForensicArtifacts

免责声明

本人不以任何方式对因本项目造成的计算机/程序的任何形式的损害负责。欢迎贡献，请提交 Pull Request，我会进行审查！