setodaNote

忘れる用のメモ書き

Cuckoo に難読化 Poweshell 解析モジュール CurtainCuckoo を導入する

CurtainCuckoo とは

Curtain は難読化された PowerShell を可読化するため Cuckoo モジュールです。このモジュールを使うためにはサンドボックスである Windows 側で PowerShell ScriptBlock Logging が有効になっている必要があります。

f:id:soji256:20190603230911p:plain
CurtainCuckoo

CurtainCuckoo 導入手順

サンドボックス側:Powershell 5.1 の導入

サンドボックスが Windows 7 の場合は Powershell 2.0 が標準となっておりログ取得機能がないため Powershell をアップデートする必要があります。アップデートに必要なファイルは以下からダウンロードできます。

サンドボックス側:Powershell のログ出力設定

グループポリシーからログ出力の設定をします。

  • [Windowsキー] + [R]
  • "gpedit.msc" と入力
  • グループポリシー: [管理用テンプレート] > [Windows コンポーネント] > [Windows PowerShell]
    • PowerShell スクリプト ブロックのログ記録を有効にする:有効
    • モジュールログを有効にする:有効
      • 左側にある「表示」から以下を入力
Microsoft.PowerShell.*
Microsoft.WSMan.Management
  • コマンドプロンプトから gpupdate と入力してポリシーを適用する。

ホストマシン側:Curtain モジュールの適用

  • Curtain の入手
git clone https://github.com/karttoon/curtaincuckoo.git

結果例

f:id:soji256:20190603192539p:plain
Curtain - Cuckoo (1/2)

f:id:soji256:20190603192643p:plain
Curtain - Cuckoo (2/2)

参考文献

CurtainCuckoo について

Powershell ログ出力設定について

  • PowerShellの実行ログを取得する方法について。最低限やっておいた方が良いこと。 | 技術的な何か。
    http://level69.net/archives/24861

エラー時に参考にしたサイト

更新履歴

  • 2019/06/03 新規作成