Windows 2012 R2 - Mit MD5-Hash nach Dateien suchen?

11

Meine Organisation hat kürzlich Malware entdeckt, die per E-Mail an einige Benutzer gesendet wurde und die es in einem ausgeklügelten, gezielten Angriff geschafft hat, unsere E-Mail-Sicherheit zu umgehen. Die Namen der Dateien variieren von Benutzer zu Benutzer, aber wir haben eine Liste der gängigen MD5-Hashes unter den Malware-Dateien zusammengestellt.

Nur ein Schuss in die Dunkelheit - ich habe mich gefragt, ob es eine Möglichkeit gibt, Dateien auf der Grundlage ihrer MD5-Hashes zu finden, anstatt ihre Dateinamen, Erweiterungen usw. über PowerShell .... oder eine andere Methode. Wir verwenden Windows 2012 R2 für die meisten Server in unserem Rechenzentrum.

windows malware search hash md5 Brandon Wetter
quelle
Tun Sie dies, nachdem Sie den Server aus dem primären Netzwerk entfernt haben - aktive Malware ist immerhin schlecht.
Thomas Ward
Du wurdest kompromittiert. Die Maschinen auszunutzen ist der einzige Weg, um sicher zu sein. Woher weißt du, dass du alle Dateien hast, die nötig sind, um sie sauber zu entfernen? Ich denke nicht, dass es das Risiko wert ist.
jpmc26

Antworten:

12

Sicher. Wahrscheinlich möchten Sie etwas Nützlicheres tun als das folgende Beispiel.

$evilHashes = @(
    '4C51A173404C35B2E95E47F94C638D2D001219A0CE3D1583893E3DE3AFFDAFE0',
    'CA1DEE12FB9E7D1B6F4CC6F09137CE788158BCFBB60DED956D9CC081BE3E18B1'
)

Get-ChildItem -Recurse -Path C:\somepath |
    Get-FileHash |
        Where-Object { $_.Hash -in $evilHashes }
jscott
quelle
9 
[String]$BadHash = '5073D1CF59126966F4B0D2B1BEA3BEB5'

Foreach ($File In Get-ChildItem C:\ -file -recurse) 
{
    If ((Get-FileHash $File.Fullname -Algorithm MD5).Hash -EQ $BadHash)
    {
        Write-Warning "Oh no, bad file detected: $($File.Fullname)"
    }
}
Ryan Ries
quelle
9

Wenn Sie über eine Kopie der Datei verfügen, sollten Sie AppLocker in der gesamten Domäne aktivieren und eine Hashregel hinzufügen, damit diese Datei nicht mehr ausgeführt wird. Dies hat den zusätzlichen Vorteil, dass Computer identifiziert werden können, die versuchen, das Programm auszuführen, da AppLocker-Protokolle standardmäßig Aktionen blockieren und ablehnen.

langer Hals
quelle
1
Dies ist ohne Zweifel die wahre Antwort.
Jscott
applocker sollte in einer Unternehmensumgebung sowieso aktiviert sein.
Jim B