alphasec
PowerShell protip 0012
in 𝕏

(ls "HKCU:\Software\Microsoft\Office\*\*\Security\Trusted Documents\TrustRecords").Property - pokaż dokumenty Microsoft Office, którym zaufał użytkownik

tty1 · powershell
PS> (ls "HKCU:\Software\Microsoft\Office\*\*\Security\Trusted Documents\TrustRecords").Property
#Powershell#ThreatHunting#BlueTeam#Windows#Office

Kiedy w dokumencie z pakietu Microsoft Office (czyli np. Word czy Excel) użytkownik wciśnie przycisk Włącz Zawartość/Enable Content, dokument stanie się dokumentem zaufanym, dopisując swoją lokalizację w rejestrze do klucza HKCU:\Software\Microsoft\Office\\\Security\Trusted Documents\TrustRecords.

Warto przyjrzeć się takim plikom, bo jeśli użytkownik im zaufał, a te zawierały złośliwe makro, można założyć, że makro zostało uruchomione.

Przydatne linki

https://support.office.com/en-us/article/trusted-documents-cf872bd8-47ec-4c02-baa5-1fdba1a11b53 o zaufanych dokumentach web ↗
← poprzedni protip 0011 ••• Wszystkie protipy następny → protip 0013
// subskrybuj

Nowe protipy prosto na maila.

Mięsiste jednolinijkowce i triki z prawdziwych zleceń. Zero spamu, zero teorii. Wypisujesz się jednym kliknięciem.

wersja newslettera: