⚡️ PowerShell-Hunter – это опенсорс разработанный, чтобы помочь обнаруживать вредоносные действия с использованием PowerShell.

Проект объединяет ряд утилит, каждая из которых фокусируется на определённом типе данных или событий:

Анализ события PowerShell 4104: PowerShell генерирует огромное количество логов, и именно событие 4104 часто используется злоумышленниками для выполнения вредоносного кода. Этот инструмент помогает отсеять «шум» и выявить подозрительные случаи, используя предварительно настроенные детекторы, систему оценки риска и удобные форматы экспорта данных (CSV, JSON).

Active Directory Threat Hunting: Предназначен для мониторинга активности в инфраструктуре Active Directory. Он помогает обнаружить атаки типа «password spray», brute force и другие аномалии, используя временной анализ и визуальную репрезентацию данных.

MRU (Most Recently Used) Analysis: Анализирует записи реестра Windows, чтобы выявить недавно использованные файлы и приложения. Такой анализ позволяет восстановить хронологию действий пользователя и выявить потенциально подозрительную активность.

BAM (Background Activity Moderator) Analysis: Инструмент для извлечения и анализа данных о фоновом запуске приложений. Он помогает сопоставлять действия с пользователями и обнаруживать аномалии в поведении программ.

PCA (Program Compatibility Assistant) Analysis: Позволяет отслеживать историю запуска приложений через логи PCA, что может помочь в реконструкции цепочки событий при инцидентах.

UserAssist Registry Analysis: Декодирует и анализирует записи реестра UserAssist, раскрывая, какие приложения и когда запускались, что критически важно для судебной экспертизы.

Prefetch Hunter Analysis: Позволяет изучить файлы Prefetch Windows для определения истории выполнения программ, выявления подозрительных бинарных файлов и поиска аномалий во времени запуска.

Зачем это нужно?
В современных условиях злоумышленники часто используют встроенные инструменты Windows, такие как PowerShell, чтобы обходить традиционные системы защиты. Однако именно подробное логирование и разнообразие источников данных дают возможность обнаружить даже тщательно замаскированные атаки. PowerShell-Hunter объединяет эти источники и предоставляет:

Глубокий анализ событий: Инструменты позволяют фильтровать огромные объёмы данных, выявляя важные паттерны.

Эффективность и производительность: Инструменты оптимизированы для быстрого анализа тысяч событий.

Гибкость: Возможность экспорта результатов в различных форматах (CSV, JSON, HTML) для дальнейшей обработки.
Расширяемость: Лёгкая интеграция с другими инструментами и возможность добавления собственных шаблонов детектирования.
Основные требования и возможности

▪ Github

@linuxkalii