# Kape Github - Module
## Apps - Github
### Hayabusa directory
* Hayabusa（ザックさんのやつ）を実行するやつ
* 不要かな？->やろう

### RegRipper directory
* RegRipper をまわす
* あってもよい
* Kapeparser.sh に実装してもよい -> kape が楽かな

### Volatility directory
* volatility をまわす
* これは local でよい

### reg_hunter direcotry
* reg_hunter をまわす
* reg_hunter は複数の option が用意されており、registry に含まれる、IP address, email, script, shellcode などを探してくれる
* あってもなくてもよい。優先度は低
* とりあえず入れない。有効性判断は時間があるときにやってみようか
* reg_hunter で見ているレジストリをピックして reg_json_mito に取り込む

### BMC-Tools_RDPBitmapCacheParser.mkape
* 名前の通り
* なくてよい

### BitsParser.mkape :star:
* qmgr.db をパースするツール
* target への追加と module への追加はしたほうがよい

### Bulk_extractor.mkape
* 名前の通り
* さすがに時間かかるしやらなくていい, local でよい

### CCMRUAFinder_RecentlyUsedApps.mkape
* SCCM の app log を探すやつ
* 導入済み

### Chainsaw.mkape :star2:

* event log をルールや sigma で検索するツールらしい
* あってもよいかも。要検証

### DHParser.mkape :star2:
* windows defender の検知ログを解析するツール
* あってもよいかも。要検証

### DeepblueCLI.mkape :star2:

* SANS が出してる DeepBlueCLI という event log 解析ツール
* 要検証

### EvtxHussar.mkape :star2:
* EvtxHussar という event log 解析ツール
* 要検証

### HatTrickFreenetParser.mkape
* Freenet という P2P ソフトウェアの情報を収集
* 不要

### INDXRipper.mkape :stars:
* $INDX attribute を live system で carving するツール
* これにより、削除されたファイルの macb timestamp が手に入る
* フルの領域。不要。
* 今後フル用のチェックリストを作った際に追加

### LevelDBDumper.mkape
* LevelDB をサーチして、パースしてくれるツール
* Discord などの levelDB を使用しているアプリのアカウント情報などが手に入る
* 不要

### Loki_LiveResponse.mkape, Loki_Scan.mkape :star2:
* Loki(IOC, yara scanner)を live system に対して実行する
* IOC, yara scan は endpoint でやりたいと思っていたのでぜひ使いたい
* preset な yara rule が用意されているので検証したうえで include したい

### ObsidianForensics_Hindsight.mkape

* Chrome history の parser
* すでに導入済み

### OneDriveExplorer.mkape :star:

* onedrive の metadata ファイルの parser
* target とともに含める
* 取るは取るが、必須調査項目としては ファスト／フル 悩み中
* とりあえずファストで見てみて、実案件で有用性評価する

### PowerShell_Get-ChainsawSigmaRules.mkape
* Chainsaw の sigmarule をダウンロードする
* これはツール提供側でやったほうがよい
* 不要

### PowerShell_Get-DoSvc4n6.mkape :star:
* Delivery Optimization Service の ETL を parse することで、この端末がこれまでにどの Public IP を使っていたかが分かる(NICに割り振られていたものではなくて、Internet に出る際の出口NW機器の Public IP)
* https://forensenellanebbia.blogspot.com/2018/12/what-was-my-ip-ask-dosvc-on-windows-10.html
* これは入れたほうがいい

### PowerShell_Get-InjectedThread.mkape
* 名前の通り
* すでに導入済み

### PowerShell_Get-NetworkConnection.mkape
* 名前の通り
* 他に手段がたくさんあり、それらは導入済みなので不要

### PowerShell_MFTECmd_J-MFTParsing.mkape
* 名前の通り
* 他に手段がたくさんあり、それらは導入済みなので不要

### PowerShell_Move-KAPEConsoleHost_history.mkape
* 名前の通り
* target で導入ずみ

### PowerShell_Netscan.mkape
* 名前の通り
* 他に手段がたくさんあり、それらは導入済みなので不要

### PowerShell_Signed.mkape
* system32, syswow64 配下の sigcheck
* 導入ずみ

### PowerShell_SrumECmd_SRUM-RepairAndParse.mkape
* 名前の通り
* 別の方法で導入ずみ

### PowerShell_SumECmd_SUM-RepairAndParse.mkape :star:
* UAL の parser
* 導入する
* https://svch0st.medium.com/windows-user-access-logs-ual-9580f1100635

### SEPparser.mkape :star:
* SEP log の parser
* 要否の判断がわからない
* 一旦要とする

### SRUMDump.mkape
* 名前の通り
* 他の手段で導入済みなので不要

### TeamsParser.mkape :star:
* Teams の DB parser
* 導入する
* 取るは取るが、必須調査項目としては ファスト／フル 悩み中
* とりあえずファストで見てみて、実案件で有用性評価する

### ThumbCacheViewer.mkape
* Thubmcache viewer
* thumbcache は cyber attack の文脈ではあまり有用ではないので対象には含めない

### VLSeeRecent_VLCRecentFiles.mkape
* VLC という video player の recent file の parser
* 聞いたこともないので不要

### Velocidex_WinPmem.mkape
* winpmem
* 別の mkape で実装済み

### Velociraptor_KapeTargetsCollectionRestoreTimestamps.mkape
* velociraptor で kape target を実行した際に timestamp を original のものに修復する
* velociraptor の文脈ではないので不要

### WIFIPassView.mkape
* WiFi password を端末から取得する
* IR の文脈ではむしろ取ってはだめなので不要

### WMI-Parser.mkape
* WMI object を parse して persistence をチェックするツール
* 他の方法で導入済みなので不要

### Zircolite_Scan.mkape :star2:
* evtx, auditd, sysmon に対する sigma base の detection tool
* 他にも同様のツールがあるので、それらと見比べる必要がある
* 要検証

### Zircolite_Update.mkape
* zircolite の sigma rule を update するツール
* ツール提供側で実施すべきなので、不要

### hasherezade_HollowsHunter.mkape
* injection や process hollowing を検知するツール
* 導入済み

### iTunesBackupReader.mkape

* iTunes backup の parser
* 不要

### log4j-scanner.mkape
* log4jの脆弱性有無を live でチェックするツール
* うーん、おもしろいが個々の脆弱性対応は際限がないので不要としよう

### mimikatz_NTLMHashes.mkape
* Retrieve NTLM-hashes of all the user accounts
* 不要