Persistence

eradicating-malware-from-infected-systems est une compétence de réponse à incident en cybersécurité destinée à supprimer les malwares, les portes dérobées et les mécanismes de persistance après confinement. Elle fournit des indications de workflow, des fichiers de référence et des scripts pour le nettoyage sous Windows et Linux, la rotation des identifiants, la remédiation des causes racines et la validation.

Le skill detecting-wmi-persistence aide les threat hunters et les analystes DFIR à détecter la persistance par abonnement d’événements WMI dans la télémétrie Windows à l’aide des Event ID Sysmon 19, 20 et 21. Servez-vous-en pour repérer des activités malveillantes EventFilter, EventConsumer et FilterToConsumerBinding, valider les résultats et distinguer une persistance d’attaquant d’une automatisation d’administration légitime.

conducting-pass-the-ticket-attack est une compétence de Security Audit et de red-team dédiée à la planification et à la documentation des workflows Pass-the-Ticket. Elle aide à examiner les tickets Kerberos, à cartographier les signaux de détection et à produire un flux de validation ou de rapport structuré à l’aide de la compétence conducting-pass-the-ticket-attack.

Guide de persistence de domaine avec DCSync pour des audits de sécurité Active Directory autorisés. Découvrez l’installation, l’utilisation et les points de workflow pour évaluer les droits DCSync, l’exposition de KRBTGT, le risque de Golden Ticket et les mesures de remédiation à l’aide des scripts, références et du modèle de rapport inclus.