Windows-Defender-Security-Auditor-CVE-2026-50656- — Schreibgeschützter PowerShell-Sicherheitsauditor für Windows-Endpunkte und -Server: prüft die Defender-Konfiguration, den Patch-Status, Anmeldeinformationen, Persistenz, Netzwerktelemetrie und sucht nach bekannten Kampagnen-IOCs. | Kitploit

Plattform	Version
Windows 10	Alle unterstützten Builds
Windows 11	Alle unterstützten Builds
Windows Server 2019	Standard / Datacenter
Windows Server 2022	Standard / Datacenter
Windows Server 2025	Standard / Datacenter

#	Modul	Beschreibung
01	Systeminformationen	OS, Build, Maschinenrolle, Domänenstatus, TPM, BitLocker, Betriebszeit
02	Patchstatus	Windows-Update-Inventar, Analyse des Patch-Alters
03	Defender-Status	Engine-Version, Signaturen, Echtzeitschutz, Manipulationsschutz, Dienstzustand
04	Defender-Konfiguration	Umschalter für Sicherheitsfunktionen, Cloud-Schutz, PUA, kontrollierter Ordnerzugriff
05	Defender-Ausschlüsse	Überprüfung von Pfad-, Prozess-, Erweiterungs- und IP-Ausschlüssen
06	Angriffsflächenreduzierung	ASR-Regelinventar mit GUID-zu-Name-Zuordnung, Durchsetzungsstatus, fehlende kritische Regeln
07	Bedrohungsverlauf	Aktuelle Defender-Erkennungen innerhalb des Rückblickzeitraums
08	Betriebsereignisse	Defender-Ereignisprotokollanalyse auf Manipulation, Deaktivierung und verdächtige Aktivitäten
09	Prozessherkunft	Überprüfung der Eltern-Kind-Beziehung von MsMpEng.exe
10	Prozesssuche	Sicherheitsrelevante Prozesse mit Befehlszeilenerfassung, Erkennung verdächtiger Pfade
11	SYSTEM-Berechtigungssuche	Interpreter-Prozesse, die als SYSTEM laufen
12	Ereignis 4688	Prozesserstellungs-Telemetrie für die Bedrohungssuche
13	Diensterstellung	Ereignis-7045-Analyse für neue Dienstinstallationen
14	Geplante Aufgaben	Inventar aktiver Aufgaben mit Erkennung verdächtiger Aktionen (codierte Befehle, Remote-URIs)
15	Benutzerüberprüfung	Lokale Administratoren, alle Konten, fehlgeschlagene Anmeldungen (4625), RDP-Sitzungen (4624 Typ 10)
16	IOC-Suche	Bekannte Kampagnen-Artefakte (setup.mjs, bun-dl usw.)
17	Hash-Validierung

Platzieren Sie das Skript auf einer Netzwerkfreigabe, die für alle Endpunkte zugänglich ist

Erstellen Sie eine geplante Aufgabe oder ein GPO-Startskript:

powershell.exe -ExecutionPolicy Bypass -File "\\FileServer\SecurityAudit\CVE-2026-50656_MsMpEng_Audit.ps1"

Sammeln Sie die ausgegebenen .txt-Dateien von jedem Endpunkt zur zentralen Auswertung

$Hosts = @("SERVER01", "SERVER02", "WS-PC01", "WS-PC02")
$ScriptBlock = Get-Content .\CVE-2026-50656_MsMpEng_Audit.ps1 -Raw

foreach ($H in $Hosts) {
    Invoke-Command -ComputerName $H -ScriptBlock ([scriptblock]::Create($ScriptBlock))
}

    ___    __  ___________ __  __
   /   |  /  |/  /  _/ __// / / /
  / /| | / /|_/ // / _\ \ / /_/ /
 / ___ |/ /  / // / /__ \/ __  /
/_/  |_/_/  /_/___/____/_/ /_/

        SECURITY RESEARCHER

========================================================================
                    AMISH SECURITY RESEARCH
========================================================================

               WINDOWS SECURITY AUDITOR v2.0.0

======================================================================
 MODULE 03 - MICROSOFT DEFENDER STATUS
======================================================================
 Product Version                      : 4.18.26060.3008
 Engine Version                       : 1.1.26060.3008
 Real-Time Protection                 : True
 Tamper Protection                    : True
 Signature Age                        : 4.2 hours

[PASS] Defender Engine meets original CVE threshold.
       Current  : 1.1.26060.3008
       Required : 1.1.26060.3008

======================================================================
 FINDINGS SUMMARY
======================================================================

  CRITICAL : 0
  HIGH     : 2
  MEDIUM   : 5
  INFO     : 3

  TOTAL    : 10

Schweregrad	Farbe	Bedeutung
`CRITICAL`	🔴 Rot	Sofortiges Handeln erforderlich — aktiver Kompromittierungsindikator oder kritische Fehlkonfiguration
`HIGH`	🟠 Orange	Erhebliche Sicherheitsschwäche — sollte zeitnah behoben werden
`MEDIUM`	🟡 Gelb	Bemerkenswerter Befund — prüfen und Risiko bewerten
`INFO`	:blue_circle: Cyan	Information — Bewusstseinsposten, kann Überprüfung erfordern
`PASS`	🟢 Grün	Prüfung bestanden — kein Problem erkannt

Hash	Zugeordnete Datei
`35A672CF34B996B91F3E1C28CBF3A05A37E0364`	Math_Symbol.js / math_init.js
`686AA40D0FC22C8D569494543A0F891F359F2F99`	.claude/setup.mjs
`F525D52CEB9665166B482D3DC0137028CC6A63`	.vscode/setup.mjs

AMISH-Windows-Defender-Security-Auditor/
|
|-- Amish_MsMpEng_Audit.ps1          # Main security auditor script
|-- README.md                         # This documentation
|-- LICENSE                           # MIT License
|
|-- (auto-generated on execution)
|   |-- AMISH_SecurityAudit_<HOST>_<DATE>.txt   # Assessment report

:white_check_mark:	READ-ONLY — Liest nur den Systemzustand
:white_check_mark:	NICHT-INTRUSIV — Keine Auswirkungen auf die Leistung
:x:	Nutzt KEINE Schwachstellen aus
:x:	Patcht oder modifiziert das System NICHT
:x:	Ändert NICHT Registrierung, GPO oder Defender-Einstellungen
:x:	Deaktiviert NICHT Sicherheitskontrollen
:x:	Beendet NICHT Prozesse oder erzeugt Persistenz
:x:	Installiert KEINE Software oder Abhängigkeiten

Windows-Defender-Security-Auditor-CVE-2026-50656-

Beliebteste

Unterstützte Plattformen

Hauptfunktionen

Sicherheitsbewertungsmodule

Schnellstart

1. Herunterladen

2. Ausführen (Administrator empfohlen)

3. Ergebnisse prüfen

Verwendungsbeispiele

Bewertung einer einzelnen Arbeitsstation

Remote-Ausführung über PsExec

Unternehmensbereitstellung über GPO / SCCM / Intune

PowerShell-Remoting (mehrere Hosts)

Beispielausgabe

Ausführungsmodus & Sicherheit

Schweregrade der Ergebnisse

Bekannte Kampagnen-IOCs

Projektstruktur

Roadmap

Beitragen

Haftungsausschluss