На этой неделе по некоторым телеграм каналам расходился инструмент EDRaser , судя по описанию: "EDRaser - это мощный инструмент для удаленного удаления журналов доступа, журналов событий Windows, баз данных и других файлов на удаленных компьютерах. Он предлагает два режима работы: автоматический и ручной."
По факту это
- флудер http запросов со сменой useragent
- флудер сообщений по syslog (хотя там гордо написано "Deletes syslog from Linux machines running Kaspersky EDR without being.")
- не понятно что делает с виндовыми логами, особо улыбнула строка: INVOKE_MIMIKATZ_STR = base64.b64decode("QWRkLU1lbWJlciBOb3RlUHJvcGVydHkgLU5hbWUgVmlydHVhbFByb3RlY3QgLVZhbHVlICRWaXJ0dWFsUHJvdGVjdA==").decode() где в base64 засунули команду: "Add-Member NoteProperty -Name VirtualProtect -Value $VirtualProtect" и полное отсутствие аутентификации.
ну и т.д.
Короче, очередной fake tools ) не тратьте на него свое время.