Windows 2012 R2 - поиск файлов с использованием MD5 Hash?

11

Моя организация недавно обнаружила вредоносное ПО, которое было отправлено некоторым пользователям по электронной почте, и им удалось преодолеть нашу защиту электронной почты в результате сложной целевой атаки. Имена файлов варьируются от пользователя к пользователю, но мы собрали список распространенных хешей MD5 среди файлов вредоносных программ.

Просто выстрел в темноте - мне было интересно, есть ли способ найти файлы на основе их хэшей MD5, а не их имен, расширений и т. Д. С помощью PowerShell .... или каким-либо другим способом. Мы используем Windows 2012 R2 для большинства серверов нашего центра обработки данных.

— Брэндон Веттер
источник

Сделайте это после того , как вы отключите сервер от основной сети - в конце концов, активное вредоносное ПО вредно.

— Томас Уорд

Вы были скомпрометированы. Обстреливать машины - единственный способ быть уверенным. Как вы узнали, что получили все файлы, необходимые для их чистого удаления? Я не думаю, что это стоит риска.

— jpmc26

12

Конечно. Возможно, вы захотите сделать что-то более полезное, чем в следующем примере.

$evilHashes = @(
    '4C51A173404C35B2E95E47F94C638D2D001219A0CE3D1583893E3DE3AFFDAFE0',
    'CA1DEE12FB9E7D1B6F4CC6F09137CE788158BCFBB60DED956D9CC081BE3E18B1'
)

Get-ChildItem -Recurse -Path C:\somepath |
    Get-FileHash |
        Where-Object { $_.Hash -in $evilHashes }

— jscott
источник

9

[String]$BadHash = '5073D1CF59126966F4B0D2B1BEA3BEB5'

Foreach ($File In Get-ChildItem C:\ -file -recurse) 
{
    If ((Get-FileHash $File.Fullname -Algorithm MD5).Hash -EQ $BadHash)
    {
        Write-Warning "Oh no, bad file detected: $($File.Fullname)"
    }
}

— Райан Райс
источник

9

Если у вас есть копия файла, вы должны активировать AppLocker по всему домену и добавить правило хеша для этого файла, чтобы остановить его выполнение. Это дает дополнительный бонус идентификации компьютеров, которые пытаются запустить программу, поскольку журналы AppLocker блокируют и запрещают действия по умолчанию.

— длинная шея
источник

1

Это, без сомнения, Настоящий ответ.

— Джскотт

applocker должен быть включен в любом случае, в корпоративной среде.

— Джим Б