Mi organización descubrió recientemente malware que se envió a algunos usuarios por correo electrónico que logró superar nuestra seguridad de correo electrónico en un ataque sofisticado y dirigido. Los nombres de los archivos varían de un usuario a otro, pero hemos recopilado una lista de los hashes MD5 comunes entre los archivos de malware.
Solo una foto en la oscuridad: me preguntaba si hay una manera de encontrar archivos basados en sus hashes MD5 en lugar de sus nombres de archivo, extensiones, etc. a través de PowerShell ... o cualquier otro método. Estamos utilizando Windows 2012 R2 para la mayoría de los servidores en nuestro centro de datos.
Respuestas:
Por supuesto. Sin embargo, es probable que desee hacer algo más útil que el siguiente ejemplo.
fuente
fuente
Si tiene una copia del archivo, debe activar AppLocker en todo el dominio y agregar una regla hash para que el archivo detenga su ejecución. Esto tiene la ventaja adicional de identificar las computadoras que intentan ejecutar el programa porque los registros de AppLocker bloquean y niegan acciones de forma predeterminada.
fuente