AmCache-EvilHunter

AmCache-EvilHunter es una herramienta de línea de comandos para procesar y analizar archivos de registro Amcache.hve de Windows, identificar evidencia de ejecución, ejecutables sospechosos e integrar consultas de VirusTotal/OpenTIP para una inteligencia de amenazas mejorada.

https://github.com/user-attachments/assets/e23fb99b-48ad-4260-b372-2f15e5320c74

Características

• Procesa archivos de registro Amcache.hve sin conexión.
• Filtra registros por rango de fechas (--start, --end).
• Busca registros mediante palabras clave (--search).
• Identifica ejecutables sospechosos conocidos (--find-suspicious).
• Identifica ejecutables sin editor (--missing-publisher).
• Integración con Kaspersky OpenTIP para consultas de hash (--opentip, --only-detections).
• Integración con VirusTotal para consultas de hash (--vt, --only-detections).
• Exporta resultados a JSON (--json) o CSV (--csv).

Requisitos

• Python 3.7 o superior
• requests
• python-registry
• rich

Instala las dependencias con pip:

pip3 install -r requirements.txt

Instalación

git clone https://github.com/cristianzsh/amcache-evilhunter.git
cd amcache-evilhunter
pip3 install -r requirements.txt

Uso

python3 amcache_evilhunter.py -i path/to/Amcache.hve [OPTIONS]

Opciones

Ejemplos

• Procesar y mostrar todos los registros:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve
  

• Filtrar por rango de fechas y buscar "notepad":

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --start 2021-01-01 --end 2021-12-31 --search notepad
  

• Identificar ejecutables sospechosos y consultar VirusTotal:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --find-suspicious -v
  

• Exportar detecciones de VirusTotal a JSON:

  root@kitploit:~

  export VT_API_KEY=YOUR_API_KEY
  python3 amcache_evilhunter.py -i Amcache.hve -v --only-detections --json detections.json
  

Variables de entorno

• VT_API_KEY: Tu clave de API de VirusTotal utilizada para consultas de hash de archivos.
• OPENTIP_API_KEY: Tu clave de API de OpenTIP utilizada para consultas de hash de archivos.

Creación de ejecutables

Se incluye un script build.sh para generar binarios autónomos tanto para Linux como para Windows (mediante Wine).

chmod +x build.sh
./build.sh

Licencia

Este proyecto está licenciado bajo la Licencia MIT. Consulta LICENSE para más detalles.