eh-amish/windows-defender-security-auditor-cve-2026-50656-Auditor de seguridad PowerShell de solo lectura para endpoints y servidores Windows: verifica la configuración de Defender, el estado de parches, las credenciales, la persistencia y la telemetría de red, y busca IOC de campañas conocidas.
Herramienta de evaluación de postura de seguridad de Windows y caza de amenazas de nivel empresarial
Desarrollada por Amish Kumar — Investigador de Seguridad / Ingeniero de Seguridad
CVE-2026-50656
Windows Defender Security Auditor es una herramienta integral de evaluación de seguridad basada en PowerShell y no intrusiva, diseñada para su implementación a nivel empresarial en endpoints y servidores Windows. Realiza una inspección profunda de la configuración de Microsoft Defender, la postura de seguridad del sistema operativo, la seguridad de credenciales, los mecanismos de persistencia, la actividad de red y los indicadores de amenazas conocidos — todo en modo de SOLO LECTURA.
Creada originalmente para evaluar la exposición relacionada con CVE-2026-50656, la herramienta ha evolucionado hasta convertirse en un auditor de seguridad de Windows de espectro completo, adecuado para equipos SOC, ingenieros de seguridad, probadores de penetración y administradores de sistemas.
[!IMPORTANT] Esta herramienta no explota ninguna vulnerabilidad. Lee e informa — nada más.
| Plataforma | Versión |
|---|---|
| Windows 10 | Todas las compilaciones compatibles |
| Windows 11 | Todas las compilaciones compatibles |
| Windows Server 2019 | Standard / Datacenter |
| Windows Server 2022 | Standard / Datacenter |
| Windows Server 2025 | Standard / Datacenter |
Requisitos:
.txt con marca de tiempo para recopilación empresarial| # | Módulo | Descripción |
|---|---|---|
| 01 | Información del sistema | SO, compilación, rol de la máquina, estado del dominio, TPM, BitLocker, tiempo de actividad |
| 02 | Estado de parches | Inventario de actualizaciones de Windows, análisis de antigüedad de parches |
| 03 | Estado de Defender | Versión del motor, firmas, protección en tiempo real, protección contra manipulaciones, estado del servicio |
| 04 | Configuración de Defender | Interruptores de funciones de seguridad, protección en la nube, PUA, acceso controlado a carpetas |
| 05 | Exclusiones de Defender | Revisión de exclusiones de rutas, procesos, extensiones e IP |
| 06 | Reducción de superficie de ataque | Inventario de reglas ASR con mapeo GUID a nombre, estado de aplicación, reglas críticas faltantes |
| 07 | Historial de amenazas | Detecciones recientes de Defender dentro del período de revisión |
| 08 | Eventos operativos | Análisis del registro de eventos de Defender para manipulaciones, desactivaciones y actividad sospechosa |
| 09 | Ascendencia de procesos | Validación de la relación padre-hijo de MsMpEng.exe |
| 10 | Búsqueda de procesos | Procesos relevantes para la seguridad con captura de línea de comandos, detección de rutas sospechosas |
| 11 | Búsqueda de privilegios SYSTEM | Procesos de intérpretes ejecutándose como SYSTEM |
| 12 | Evento 4688 | Telemetría de creación de procesos para la caza de amenazas |
| 13 | Creación de servicios | Análisis del evento 7045 para nuevas instalaciones de servicios |
| 14 | Tareas programadas | Inventario de tareas activas con detección de acciones sospechosas (comandos codificados, URI remotas) |
| 15 | Revisión de usuarios | Administradores locales, todas las cuentas, inicios de sesión fallidos (4625), sesiones RDP (4624 Tipo 10) |
| 16 | Búsqueda de IOC | Artefactos de campañas conocidas (setup.mjs, bun-dl, etc.) |
| 17 | Validación de hashes | Comparación SHA1 contra hashes de archivos maliciosos conocidos |
| 18 | Revisión de red | Conexiones TCP enriquecidas, puertos en escucha, correlación de caché DNS con IOC |
| 19 | Secure Boot / VBS | Estado de Secure Boot, Device Guard, VBS |
| 20 | Persistencia en el registro | Run/RunOnce, Winlogon, secuestros IFEO, suscripciones a eventos WMI |
| 21 | Seguridad de credenciales | Caché de WDigest, protección LSA (RunAsPPL), Credential Guard |
| 22 | Seguridad de PowerShell | Registro de bloques de script, registro de módulos, transcripción, CLM, bloques de script sospechosos |
| 23 | Firewall | Estado de perfiles (Dominio/Privado/Público), acciones predeterminadas |
| 24 | Seguridad SMB | Estado de SMBv1, requisitos de firma, recursos compartidos no predeterminados |
| 25 | Persistencia de inicio | Carpetas de inicio, modificaciones de System32, controladores cargados |
| 26 | Evaluación final | Resumen de severidad, hallazgos consolidados, determinación de ShieldBreak |
git clone https://github.com/eh-amish/Windows-Defender-Security-Auditor-CVE-2026-50656-.git
cd Windows-Defender-Security-Auditor(CVE-2026-50656)-
# Abra PowerShell como Administrador y luego:
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process
.\CVE-2026-50656_MsMpEng_Audit.ps1
El script:
AMISH_SecurityAudit_<HOSTNAME>_<YYYYMMDD_HHmmss>.txt
powershell -ExecutionPolicy Bypass -File .\CVE-2026-50656_MsMpEng_Audit.ps1
PsExec.exe \\TARGET_HOST -s powershell -ExecutionPolicy Bypass -File "\\share\CVE-2026-50656_MsMpEng_Audit.ps1"
powershell.exe -ExecutionPolicy Bypass -File "\\FileServer\SecurityAudit\CVE-2026-50656_MsMpEng_Audit.ps1"
.txt de salida de cada endpoint para su revisión centralizada$Hosts = @("SERVER01", "SERVER02", "WS-PC01", "WS-PC02")
$ScriptBlock = Get-Content .\CVE-2026-50656_MsMpEng_Audit.ps1 -Raw
foreach ($H in $Hosts) {
Invoke-Command -ComputerName $H -ScriptBlock ([scriptblock]::Create($ScriptBlock))
}