Windows-Defender-Security-Auditor-CVE-2026-50656- — Auditor di sicurezza PowerShell in sola lettura per endpoint e server Windows: verifica la configurazione di Defender, lo stato delle patch, le credenziali, la persistenza, la telemetria di rete e ricerca gli IOC di campagne note. | Kitploit

Piattaforma	Versione
Windows 10	Tutte le build supportate
Windows 11	Tutte le build supportate
Windows Server 2019	Standard / Datacenter
Windows Server 2022	Standard / Datacenter
Windows Server 2025	Standard / Datacenter

#	Modulo	Descrizione
01	Informazioni di sistema	Sistema operativo, build, ruolo della macchina, stato del dominio, TPM, BitLocker, uptime
02	Stato delle patch	Inventario di Windows Update, analisi dell'età delle patch
03	Stato di Defender	Versione del motore, firme, protezione in tempo reale, protezione da manomissioni, stato del servizio
04	Configurazione di Defender	Interruttori delle funzionalità di sicurezza, protezione cloud, PUA, accesso alle cartelle controllate
05	Esclusioni di Defender	Revisione delle esclusioni per percorsi, processi, estensioni e IP
06	Riduzione della superficie d'attacco	Inventario delle regole ASR con mappatura GUID-nome, stato di applicazione, regole critiche mancanti
07	Cronologia delle minacce	Rilevamenti recenti di Defender nel periodo di lookback
08	Eventi operativi	Analisi del registro eventi di Defender per manomissioni, disattivazioni e attività sospette
09	Genealogia dei processi	Validazione della gerarchia padre-figlio di MsMpEng.exe
10	Caccia ai processi	Processi rilevanti per la sicurezza con acquisizione della riga di comando, rilevamento di percorsi sospetti
11	Caccia ai privilegi SYSTEM	Processi interprete in esecuzione come SYSTEM
12	Evento 4688	Telemetria di creazione dei processi per il threat hunting
13	Creazione di servizi	Analisi dell'evento 7045 per nuove installazioni di servizi
14	Attività pianificate	Inventario delle attività attive con rilevamento di azioni sospette (comandi codificati, URI remoti)
15	Revisione degli utenti	Amministratori locali, tutti gli account, accessi non riusciti (4625), sessioni RDP (4624 Tipo 10)
16	Caccia agli IOC

Posizionare lo script su una condivisione di rete accessibile a tutti gli endpoint

Creare un'attività pianificata o uno script di avvio GPO:

powershell.exe -ExecutionPolicy Bypass -File "\\FileServer\SecurityAudit\CVE-2026-50656_MsMpEng_Audit.ps1"

Raccogliere i file .txt di output da ciascun endpoint per una revisione centralizzata

$Hosts = @("SERVER01", "SERVER02", "WS-PC01", "WS-PC02")
$ScriptBlock = Get-Content .\CVE-2026-50656_MsMpEng_Audit.ps1 -Raw

foreach ($H in $Hosts) {
    Invoke-Command -ComputerName $H -ScriptBlock ([scriptblock]::Create($ScriptBlock))
}

    ___    __  ___________ __  __
   /   |  /  |/  /  _/ __// / / /
  / /| | / /|_/ // / _\ \ / /_/ /
 / ___ |/ /  / // / /__ \/ __  /
/_/  |_/_/  /_/___/____/_/ /_/

        SECURITY RESEARCHER

========================================================================
                    AMISH SECURITY RESEARCH
========================================================================

               WINDOWS SECURITY AUDITOR v2.0.0

======================================================================
 MODULE 03 - MICROSOFT DEFENDER STATUS
======================================================================
 Product Version                      : 4.18.26060.3008
 Engine Version                       : 1.1.26060.3008
 Real-Time Protection                 : True
 Tamper Protection                    : True
 Signature Age                        : 4.2 hours

[PASS] Defender Engine meets original CVE threshold.
       Current  : 1.1.26060.3008
       Required : 1.1.26060.3008

======================================================================
 FINDINGS SUMMARY
======================================================================

  CRITICAL : 0
  HIGH     : 2
  MEDIUM   : 5
  INFO     : 3

  TOTAL    : 10

Severità	Colore	Significato
`CRITICAL`	🔴 Rosso	Azione immediata richiesta — indicatore di compromissione attiva o configurazione errata critica
`HIGH`	🟠 Arancione	Debolezza di sicurezza significativa — da correggere tempestivamente
`MEDIUM`	🟡 Giallo	Risultato degno di nota — esaminare e valutare il rischio
`INFO`	:blue_circle: Ciano	Informativo — elemento di consapevolezza, può richiedere revisione
`PASS`	🟢 Verde	Controllo superato — nessun problema rilevato

AMISH-Windows-Defender-Security-Auditor/
|
|-- Amish_MsMpEng_Audit.ps1          # Main security auditor script
|-- README.md                         # This documentation
|-- LICENSE                           # MIT License
|
|-- (auto-generated on execution)
|   |-- AMISH_SecurityAudit_<HOST>_<DATE>.txt   # Assessment report

:white_check_mark:	SOLO LETTURA — Legge esclusivamente lo stato del sistema
:white_check_mark:	NON INTRUSIVO — Nessun impatto sulle prestazioni
:x:	Non sfrutta alcuna vulnerabilità
:x:	Non applica patch né modifica il sistema
:x:	Non modifica le impostazioni del Registro, dei GPO o di Defender
:x:	Non disabilita i controlli di sicurezza
:x:	Non termina processi né crea persistenza
:x:	Non installa software o dipendenze

Hash	File associato
`35A672CF34B996B91F3E1C28CBF3A05A37E0364`	Math_Symbol.js / math_init.js
`686AA40D0FC22C8D569494543A0F891F359F2F99`	.claude/setup.mjs
`F525D52CEB9665166B482D3DC0137028CC6A63`	.vscode/setup.mjs

Windows-Defender-Security-Auditor-CVE-2026-50656-

Più Popolari

Piattaforme supportate

Caratteristiche principali

Moduli di valutazione della sicurezza

Avvio rapido

1. Download

2. Esecuzione (consigliato come amministratore)

3. Revisione dei risultati

Esempi di utilizzo

Valutazione di una singola workstation

Esecuzione remota tramite PsExec

Distribuzione enterprise tramite GPO / SCCM / Intune

PowerShell Remoting (più host)

Output di esempio

Modalità di esecuzione e sicurezza

Livelli di severità dei risultati

IOC noti della campagna

Struttura del progetto

Roadmap

Contributi

Dichiarazione di non responsabilità