Persistence Hunter Teşekkürleri

Juntei'nin persistence-hunter komutu, topluluğun iki nesil kalıcılık avcılığı çalışmasına dayanır. Tekniklerini, uygulamalarını ve araştırmalarını incelemecilerin kullanımına sunan yazarlara ve katkıda bulunanlara teşekkür ederiz.

PyrsistenceSniper: Python projesi

Hexastrike tarafından geliştirilen PyrsistenceSniper, bu özelliğin doğrudan referansıdır. Juntei, onun 130 denetimlik kataloğunu varsayılan izin listesi, LOLBAS anlık görüntüsü ve sınıflandırma davranışıyla birlikte yerel Rust'a taşır. Referans sürüm b99c117 commit'ine sabitlenmiştir.

Python projesi MIT lisanslıdır. Juntei, telif hakkı ve lisans bildirimini THIRD_PARTY_NOTICES/PyrsistenceSniper-LICENSE.txt dosyasında korur. Juntei'nin uygulaması bir Python yorumlayıcısı olmadan çevrimdışı çalışır. Koleksiyon işleme yöntemi, kapsam raporlaması ve eksik kanıtların ihtiyatlı yorumlanması komut kılavuzunda belgelenmiştir.

PersistenceSniper: özgün PowerShell aracı

PersistenceSniper, PyrsistenceSniper'a ilham veren özgün PowerShell kalıcılık avcılığı projesidir. PyrsistenceSniper, Federico Lagrasta'yı anar; özgün depo ayrıca Riccardo Ancarani'yi ve diğer katkıda bulunanları anar. Windows kalıcılık mekanizmalarının incelenmesini kolaylaştırdıkları için özgün projeye ve katkıda bulunanlarına teşekkür ederiz.

Juntei'nin doğrudan taşıma referansı Python projesidir. Özgün PowerShell aracı bu soy ağacı nedeniyle anılmaktadır. Juntei ayrıca hongson11698 tarafından özgün projenin zamanlanmış görev COM çözümlemesi PR #31 ve Başlat Menüsü kitaplığı/CLSID klasörü PR #32 isteklerinde önerilen mekanizmaları bağımsız olarak uygular. Bunlar Python referans kataloğuna eklemelerdir; bu, iki üst kaynak projedeki her canlı sistem özelliğinin Juntei'nin çevrimdışı komutu tarafından uygulandığı anlamına gelmez.

Destekleyici araştırmalar ve araçlar

• MITRE ATT&CK, katalogda yer alan teknik tanımlayıcılarını sağlar. Bir teknik eşlemesi, bir mekanizmanın olası bir kullanımını tanımlar; eşleşen bir kayıt defteri değeri veya dosya tek başına ATT&CK ile doğrulanmış bir saldırı değildir.
• Microsoft Sysinternals Autoruns, PyrsistenceSniper tarafından da Windows otomatik başlatmalarını incelemek için bir ilham kaynağı olarak anılmaktadır.
• LOLBAS, kötüye kullanılabilen meşru Windows ikili dosyalarını belgeler. Bu ikili dosyalardan birini tanımak bir komutu yorumlamaya yardımcı olur, ancak o komutu otomatik olarak kötü amaçlı yapmaz.

Juntei genelinde kullanılan kayıt defteri, NTFS, Shell Link, olay günlüğü ve diğer ayrıştırıcı temelleri için proje genelindeki teşekkürler sayfasına bakın.

Kalıcılık mekanizmaları kılavuzuna geri dönün.