AmCache-EvilHunter

AmCache-EvilHunter هي أداة سطر أوامر لتحليل وفحص خلايا التسجيل Amcache.hve في Windows، وتحديد أدلة التنفيذ والملفات التنفيذية المشبوهة، ودمج عمليات البحث في VirusTotal/OpenTIP لتعزيز الاستخبارات عن التهديدات.

https://github.com/user-attachments/assets/e23fb99b-48ad-4260-b372-2f15e5320c74

الميزات

تحليل خلايا التسجيل Amcache.hve دون اتصال.
تصفية السجلات حسب النطاق الزمني (--start, --end).
البحث في السجلات باستخدام كلمات مفتاحية (--search).
تحديد الملفات التنفيذية المشبوهة المعروفة (--find-suspicious).
تحديد الملفات التنفيذية بدون ناشر (--missing-publisher).
دمج Kaspersky OpenTIP لعمليات البحث عن التجزئات (--opentip, --only-detections).
دمج VirusTotal لعمليات البحث عن التجزئات (--vt, --only-detections).
تصدير النتائج إلى JSON (--json) أو CSV (--csv).

المتطلبات

Python 3.7 أو أحدث
requests
python-registry
rich

قم بتثبيت التبعيات عبر pip:

pip3 install -r requirements.txt

التثبيت

git clone https://github.com/cristianzsh/amcache-evilhunter.git
cd amcache-evilhunter
pip3 install -r requirements.txt

الاستخدام

python3 amcache_evilhunter.py -i path/to/Amcache.hve [OPTIONS]

الخيارات

أمثلة

تحليل وعرض جميع السجلات:
```
python3 amcache_evilhunter.py -i Amcache.hve
```

التصفية حسب النطاق الزمني والبحث عن "notepad":

python3 amcache_evilhunter.py -i Amcache.hve --start 2021-01-01 --end 2021-12-31 --search notepad

تحديد الملفات التنفيذية المشبوهة والاستعلام عن VirusTotal:
```
python3 amcache_evilhunter.py -i Amcache.hve --find-suspicious -v
```

تصدير نتائج كشف VirusTotal إلى JSON:

export VT_API_KEY=YOUR_API_KEY
python3 amcache_evilhunter.py -i Amcache.hve -v --only-detections --json detections.json

متغيرات البيئة

VT_API_KEY: مفتاح API الخاص بك من VirusTotal المستخدم لعمليات البحث عن تجزئات الملفات.
OPENTIP_API_KEY: مفتاح API الخاص بك من OpenTIP المستخدم لعمليات البحث عن تجزئات الملفات.

بناء الملفات التنفيذية

يتم توفير سكربت build.sh لإنشاء ملفات ثنائية مستقلة لكل من Linux وWindows (عبر Wine).

chmod +x build.sh
./build.sh

الترخيص

هذا المشروع مرخّص بموجب رخصة MIT. راجع LICENSE للتفاصيل.

`-i`, `--input PATH`	المسار إلى `Amcache.hve` (مطلوب)
`--start YYYY-MM-DD`	تضمين السجلات في هذا التاريخ أو بعده فقط
`--end YYYY-MM-DD`	تضمين السجلات في هذا التاريخ أو قبله فقط
`--search TERMS`	عبارات بحث مفصولة بفواصل، غير حساسة لحالة الأحرف
`--find-suspicious`	تصفية السجلات المطابقة للأنماط المشبوهة المعروفة فقط
`--missing-publisher`	تصفية السجلات التي لا تحتوي على ناشر فقط
`--exclude-os`	تضمين الملفات التي ليست من مكونات نظام التشغيل فقط
`--opentip`	تفعيل عمليات البحث في Kaspersky OpenTIP (يتطلب متغير البيئة `OPENTIP_API_KEY`)
`-v`, `--vt`	تفعيل عمليات البحث في VirusTotal (يتطلب متغير البيئة `VT_API_KEY`)
`--only-detections`	عرض/حفظ الملفات التي تحتوي على ≥1 كشف من VT فقط
`--json PATH`	المسار لكتابة مخرجات JSON الكاملة
`--csv PATH`	المسار لكتابة مخرجات CSV الكاملة
`-V`, `--version`	عرض معلومات الإصدار

amcache-evilhunter

الأكثر شعبية