Analyseur de logs PowerShell z9

Japonais

Résumé

Cet outil détecte les artefacts des malwares basés sur PowerShell à partir du journal des événements de la journalisation PowerShell.
Démo en ligne

Installation

git clone https://github.com/Sh1n0g1/z9
cd z9
pip install -r requirements.txt

Utilisation

usage: z9.py [-h] [--output OUTPUT] [-s] [--no-viewer] [--utf8] input

positional arguments:
  input                 Input file path

options:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output file path
  -s, --static          Enable Static Analysis mode
  --no-viewer           Disable opening the JSON viewer in a web browser
  --utf8                Read scriptfile in utf-8 (deprecated)

Analyser les journaux d'événements (Recommandé)

python z9.py <input file> -o <output json>
python z9.py <input file> -o <output json> --no-viewer

Exemple)

python z9.py util\log\mwpsop.xml -o sample1.json

Analyser un fichier PowerShell statiquement

• Cette approche effectue uniquement une analyse statique et peut ne pas fournir de résultat approprié, en particulier si l'échantillon est obscurci.

python z9.py <input file> -o <output json> -s
python z9.py <input file> -o <output json> -s --utf8
python z9.py <input file> -o <output json> -s --no-viewer

Exemple)

python z9.py malware.ps1 -o sample1.json -s

Comment préparer le fichier XML

Activer la journalisation PowerShell

1. Faites un clic droit et fusionnez ce fichier de registre : util/enable_powershell_logging.reg .
2. Redémarrez le PC.
3. Toute exécution de PowerShell sera enregistrée dans le journal des événements.

Exporter le journal des événements en XML

1. Exécutez ce fichier batch : util/collect_psevent.bat .
2. Les fichiers XML seront créés dans le répertoire util/log.
3. Les deux fichiers XML peuvent être analysés par cet outil.

Comment supprimer le journal des événements existant

• Exécutez ce fichier batch : util/collect_psevent.bat en tant qu'administrateur.

Auteurs

hanataro-miz
si-tm
take32457
Bigdrea6
azaberrypi
Sh1n0g1