Ты работаешь аналитиком по ИБ, и в твоем распоряжении огромная разношерстная инфраструктура - разные версии Windows, где-то легаси, где-то свежие системы. EDR-агенты стоят далеко не везде (а если и стоят - то не всегда корректно работают).
Знакомо правда?) Тем не менее, в ходе небольшого ресерча “на коленке” тебе удалось обнаружить подозрительный артефакт, например:
C:\Users\Public\DropboxAgent.exe
❔ И теперь возникает главный вопрос:
• Нет ли таких же закрепов по всей сети?
• Какие ещё IOC или TTP использует этот threat actor?
• Как быстро и массово проверить инфраструктуру без тяжёлых агентов и сложных развёртываний?
👨💻 Use Case
Чтобы закрыть эту задачу, я накидал инструмент Tarahunter, своего рода NetExec для threat hunting на минималках.
Его основная идея проста:
Tarahunter пробегается по SMB по всем хостам в сети и ищет артефакты малвари (пока что только пути и хэшики), которые заранее описаны в hunting rules в YAML формате.
Ты находишь один артефакт → превращаешь его в hunting rule → прогоняешь по всей сети → находишь другие зараженные узлы 👍
Пример:
./tarahunter -t 10.1.0.0/24 -u Administrator -d CORP -H <NT_HASH> -c your_hunt_config.yaml --download
💻 Инструмент: https://github.com/s0ld13rr/tarahunter
🧢 s0ld13r