⚡️ PowerShell-Hunter – это проект с открытым исходным кодом, созданный для помощи в обнаружении вредоносной деятельности с использованием PowerShell.
Он включает в себя набор утилит, каждая из которых нацелена на конкретный тип данных или событий:
Анализ события PowerShell 4104: PowerShell генерирует огромное количество логов, и событие 4104 часто используется злоумышленниками для выполнения вредоносного кода. Этот инструмент помогает фильтровать «шум» и выявлять подозрительные случаи с помощью заранее настроенных детекторов, системы оценки риска и удобных форматов экспорта данных (CSV, JSON).
Поиск угроз в Active Directory: Этот инструмент предназначен для мониторинга активности в инфраструктуре Active Directory. Он помогает выявлять атаки типа «password spray», brute force и другие аномалии, используя временной анализ и визуальное представление данных.
Анализ MRU (наиболее недавно использованных): Изучает записи реестра Windows, чтобы выявить недавно использованные файлы и приложения. Такой анализ позволяет восстановить хронологию действий пользователя и выявить потенциально подозрительную активность.
Анализ BAM (модератор фоновой активности): Инструмент для извлечения и анализа данных о фоновом запуске приложений. Он помогает сопоставлять действия с пользователями и обнаруживать аномалии в поведении программ.
Анализ PCA (ассистент совместимости программ): Позволяет отслеживать историю запуска приложений через логи PCA, что может помочь в реконструкции цепочки событий при инцидентах.
Анализ реестра UserAssist: Декодирует и анализирует записи реестра UserAssist, раскрывая, какие приложения и когда запускались, что имеет критическое значение для судебной экспертизы.
Анализ Prefetch Hunter: Позволяет исследовать файлы Prefetch Windows для определения истории выполнения программ, выявления подозрительных бинарных файлов и поиска аномалий во времени запуска.
Зачем это нужно?
В современных условиях злоумышленники часто используют встроенные инструменты Windows, такие как PowerShell, чтобы обходить традиционные системы защиты. Однако именно детализированное логирование и разнообразие источников данных позволяют обнаружить даже хорошо замаскированные атаки. PowerShell-Hunter объединяет эти источники и предоставляет:
Глубокий анализ событий: Инструменты позволяют фильтровать большие объёмы данных, выявляя важные паттерны.
Эффективность и производительность: Инструменты оптимизированы для быстрого анализа тысяч событий.
Гибкость: Возможность экспорта результатов в различных форматах (CSV, JSON, HTML) для дальнейшей обработки.
Расширяемость: Лёгкая интеграция с другими инструментами и возможность добавления собственных шаблонов детектирования.
Основные требования и возможности:
▪ Github (https://github.com/MHaggis/PowerShell-Hunter)
@linux_education
