z9 Analizzatore di Log di PowerShell

Japanese

Riassunto

Questo strumento rileva gli artefatti del malware basato su PowerShell dal log eventi della registrazione di PowerShell.
Demo Online

Installazione

git clone https://github.com/Sh1n0g1/z9
cd z9
pip install -r requirements.txt

Come usare

usage: z9.py [-h] [--output OUTPUT] [-s] [--no-viewer] [--utf8] input

positional arguments:
  input                 Input file path

options:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output file path
  -s, --static          Enable Static Analysis mode
  --no-viewer           Disable opening the JSON viewer in a web browser
  --utf8                Read scriptfile in utf-8 (deprecated)

Analizza i log degli eventi (Consigliato)

python z9.py <input file> -o <output json>
python z9.py <input file> -o <output json> --no-viewer

Esempio)

python z9.py util\log\mwpsop.xml -o sample1.json

Analizza staticamente il file PowerShell

• Questo approccio eseguirà solo l'analisi statica e potrebbe non fornire un risultato adeguato, specialmente quando il campione è offuscato.

python z9.py <input file> -o <output json> -s
python z9.py <input file> -o <output json> -s --utf8
python z9.py <input file> -o <output json> -s --no-viewer

Esempio)

python z9.py malware.ps1 -o sample1.json -s

Come preparare il file XML

Abilita la registrazione di PowerShell

1. Fare clic con il tasto destro e unire questo file di registro:util/enable_powershell_logging.reg .
2. Riavviare il PC
3. Tutte le esecuzioni di PowerShell verranno registrate nel log eventi

Esporta il log eventi in XML

1. Eseguire questo file batch:util/collect_psevent.bat .
2. I file XML verranno creati nella directory util/log.
3. Entrambi i file XML possono essere analizzati da questo strumento.

Come eliminare il log eventi esistente

• Eseguire questo file batch:util/collect_psevent.bat con "Esegui come amministratore"

Autori

hanataro-miz
si-tm
take32457
Bigdrea6
azaberrypi
Sh1n0g1