Trawler PowerShell script Fake?
 

Hallo,

ich bin auf das Trawler PowerShell script von joeavanzato auf github gestoßen,
kann mir jemand sagen ob das ein seriöses Skript ist oder ob das nur getarnte Maleware ist?

Mein kenntnisstand reicht leider nicht aus um das was in dem Code steht vernünftig zu beurteilen.

Was so in der beschreibung steht hört sich ja gut an fast schon zu gut.

Hier die Beschreibung was es machen soll:
Trawler ist ein PowerShell-Skript, das Incident Respondern hilft, potenzielle Anzeichen für eine Kompromittierung von Windows-Hosts zu erkennen. Der Fokus liegt dabei auf Persistenzmechanismen wie geplanten Tasks, Diensten, Registry-Änderungen, Autostart-Einträgen, Binärmodifikationen und mehr.

Aktuell erkennt Trawler die meisten der von MITRE und Atomic Red Team explizit genannten Persistenztechniken. Weitere Erkennungsmethoden werden regelmäßig hinzugefügt.

Gruß

Und wer behauptet dass man dieses Script überhaupt braucht?
Warum glaubst du das zu brauchen?

Es hat niemand behauptet das man das braucht.
Man sagt ja, haben ist besser als brauchen. :)

Ich habe ein grundsätzliches Interesse an solchen Tools und es ist immer gut wenn man seine Toolbox erweitern kann oder nicht?

Falls der Entwickler seine versprechen auch einhält "Weitere Erkennungsmethoden werden regelmäßig hinzugefügt." wäre das doch eine gute sache.

Gruß

Servus FraKOSnichts,


ich denke schon, dass das Tool an sich legitim ist.

Es gibt allerdings nur eine Version dieses Skriptes... und das ist von 2024. Daher beantwortet sich für mich gleich die Frage, ob das überhaupt noch entwickelt wird, von selbst.

Das Tool soll für "Incident Responder" sein, wozu weder du (FraKOSnichts) noch wir (Malware Removal Team) gehören.

Damit hat sich die Sache erledigt.

Deine Beschreibung im Eingangspost klang aber so, als wenn du schon kurz vor dem Einsatz wärst, wolltest lediglich nochmal eine Bestätigung für die Nichtexistenz von Schadcode, die sowieso niemand geben kann.


Und warum gerade DAS Script?
Was das Ding grob macht weißt du?
Ich habs überflogen und mehr als irgendwelche Sachen aufdecken tut es nicht. Warum also nicht einfach FRST? Das macht doch auch nichts anderes als alles an brisanten Bereichen aufzulisten und in einem Log zu speichern.