AmCache-EvilHunter

AmCache-EvilHunter एक कमांड-लाइन उपकरण है जो Windows Amcache.hve रजिस्ट्री hives को पार्स और विश्लेषण करने, निष्पादन के प्रमाण, संदिग्ध निष्पादनयोग्य फ़ाइलों की पहचान करने, और उन्नत खतरा खुफिया (threat intelligence) के लिए VirusTotal/OpenTIP lookups को एकीकृत करने हेतु है।

https://github.com/user-attachments/assets/e23fb99b-48ad-4260-b372-2f15e5320c74

विशेषताएँ

• ऑफ़लाइन Amcache.hve रजिस्ट्री hives पार्स करें।
• दिनांक सीमा (--start, --end) द्वारा रिकॉर्ड फ़िल्टर करें।
• कीवर्ड (--search) का उपयोग करके रिकॉर्ड खोजें।
• ज्ञात संदिग्ध निष्पादनयोग्य फ़ाइलों की पहचान करें (--find-suspicious)।
• बिना Publisher वाली निष्पादनयोग्य फ़ाइलों की पहचान करें (--missing-publisher)।
• हैश lookups के लिए Kaspersky OpenTIP एकीकरण (--opentip, --only-detections)।
• हैश lookups के लिए VirusTotal एकीकरण (--vt, --only-detections)।
• परिणामों को JSON (--json) या CSV (--csv) में निर्यात करें।

आवश्यकताएँ

• Python 3.7 या उच्चतर
• requests
• python-registry
• rich

pip के माध्यम से निर्भरताएँ स्थापित करें:

pip3 install -r requirements.txt

स्थापना

git clone https://github.com/cristianzsh/amcache-evilhunter.git
cd amcache-evilhunter
pip3 install -r requirements.txt

उपयोग

python3 amcache_evilhunter.py -i path/to/Amcache.hve [OPTIONS]

विकल्प

उदाहरण

• सभी रिकॉर्ड पार्स करें और दिखाएँ:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve
  

• दिनांक सीमा के अनुसार फ़िल्टर करें और "notepad" खोजें:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --start 2021-01-01 --end 2021-12-31 --search notepad
  

• संदिग्ध निष्पादनयोग्य फ़ाइलों की पहचान करें और VirusTotal से पूछताछ करें:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --find-suspicious -v
  

• VirusTotal डिटेक्शन को JSON में निर्यात करें:

  root@kitploit:~

  export VT_API_KEY=YOUR_API_KEY
  python3 amcache_evilhunter.py -i Amcache.hve -v --only-detections --json detections.json
  

पर्यावरण चर

• VT_API_KEY: आपकी VirusTotal API कुंजी जो फ़ाइल हैश lookups के लिए उपयोग की जाती है।
• OPENTIP_API_KEY: आपकी OpenTIP API कुंजी जो फ़ाइल हैश lookups के लिए उपयोग की जाती है।

निष्पादनयोग्य फ़ाइलें बनाना

Linux और Windows (Wine के माध्यम से) दोनों के लिए स्टैंडअलोन बाइनरी बनाने हेतु एक build.sh स्क्रिप्ट प्रदान की गई है।

chmod +x build.sh
./build.sh

लाइसेंस

यह प्रोजेक्ट MIT लाइसेंस के अंतर्गत लाइसेंस प्राप्त है। विवरण के लिए LICENSE देखें।