exotron:沙盒功能借助包装好的样品进行升级

外显子 沙盒功能升级程序 它能做什么 令人遗憾的是，大型沙盒供应商没有提供蓝队希望在报告中看到的信息。 对我来说，在这些报告中查看Windows Eventlog事件始终很重要-尤其是创建规则。 我使用的沙箱不提供此功能。 因此，我决定将该功能添加到以包装器形式放置的示例中。 Exotron将样品包装在一组在样品执行之前和之后运行的命令中。 这是当前类似PoC的版本中发生的情况： 在Windows系统的本地审核策略中激活所有事件类型 清除“安全性”，“应用程序”，“系统”中的当前事件日志条目 安装Sysmon（是的！） 在（SFX的） .\samples子目录中运行样本 将Eventlog和Sysmon条目以CSV格式导出到磁盘上的文件（然后可以将其下载为“删除的文件”） 样本报告 缺点/待办事项 该报告将是一团糟，因为它包含exotron包装器在会话中引起的所有过程 在导出过程中