AmCache-EvilHunter

AmCache-EvilHunter は、Windows の Amcache.hve レジストリハイブを解析・分析し、実行の証跡や疑わしい実行ファイルを特定し、脅威インテリジェンスを強化するために VirusTotal/OpenTIP 検索を統合するコマンドラインツールです。

https://github.com/user-attachments/assets/e23fb99b-48ad-4260-b372-2f15e5320c74

機能

オフラインの Amcache.hve レジストリハイブを解析します。
日付範囲でレコードをフィルタリングします (--start, --end)。
キーワードを使用してレコードを検索します (--search)。
既知の疑わしい実行ファイルを特定します (--find-suspicious)。
発行元 (Publisher) が存在しない実行ファイルを特定します (--missing-publisher)。
ハッシュ検索のための Kaspersky OpenTIP 統合 (--opentip, --only-detections)。
ハッシュ検索のための VirusTotal 統合 (--vt, --only-detections)。
結果を JSON (--json) または CSV (--csv) にエクスポートします。

要件

Python 3.7 以上
requests
python-registry
rich

pip を使用して依存関係をインストールします:

pip3 install -r requirements.txt

インストール

git clone https://github.com/cristianzsh/amcache-evilhunter.git
cd amcache-evilhunter
pip3 install -r requirements.txt

使用方法

python3 amcache_evilhunter.py -i path/to/Amcache.hve [OPTIONS]

オプション

フラグ	説明
`-i`, `--input PATH`	`Amcache.hve` へのパス (必須)
`--start YYYY-MM-DD`	この日付以降のレコードのみを含める
`--end YYYY-MM-DD`	この日付以前のレコードのみを含める
`--search TERMS`	カンマ区切り、大文字小文字を区別しない検索語
`--find-suspicious`	既知の疑わしいパターンに一致するレコードのみをフィルタリング
`--missing-publisher`	Publisher が存在しないレコードのみをフィルタリング
`--exclude-os`	OS コンポーネント以外のファイルのみを含める
`--opentip`	Kaspersky OpenTIP 検索を有効にする (`OPENTIP_API_KEY` 環境変数が必要)
`-v`, `--vt`	VirusTotal 検索を有効にする (`VT_API_KEY` 環境変数が必要)
`--only-detections`	VT 検出が 1 件以上あるファイルのみを表示/保存する
`--json PATH`	完全な JSON 出力を書き込むパス
`--csv PATH`	完全な CSV 出力を書き込むパス
`-V`, `--version`	バージョン情報を表示する

例

すべてのレコードを解析して表示:

python3 amcache_evilhunter.py -i Amcache.hve

日付範囲でフィルタリングし、"notepad" を検索:

python3 amcache_evilhunter.py -i Amcache.hve --start 2021-01-01 --end 2021-12-31 --search notepad

疑わしい実行ファイルを特定し、VirusTotal に問い合わせる:
```
python3 amcache_evilhunter.py -i Amcache.hve --find-suspicious -v
```

VirusTotal の検出結果を JSON にエクスポート:

export VT_API_KEY=YOUR_API_KEY
python3 amcache_evilhunter.py -i Amcache.hve -v --only-detections --json detections.json

環境変数

VT_API_KEY: ファイルハッシュ検索に使用する VirusTotal API キー。
OPENTIP_API_KEY: ファイルハッシュ検索に使用する OpenTIP API キー。

実行ファイルのビルド

Linux と Windows (Wine 経由) の両方に対応したスタンドアロンバイナリを生成するための build.sh スクリプトが提供されています。

chmod +x build.sh
./build.sh

この研究の引用方法

AmCache-EvilHunter は第 XXVI 回ブラジルサイバーセキュリティシンポジウム (SBSeg 2026) で発表されました。

@inproceedings{souza2026amcache,
  author = {Cristian Souza and Eduardo Chavarro and Daniel Batista},
  title = {AmCache-EvilHunter: Automating Evidence of Execution Extraction from the Amcache.hve Artifact},
  booktitle = {Anais Estendidos do XXVI Simpósio Brasileiro de Cibersegurança},
  location = {Armação dos Búzios/RJ},
  year = {2026},
  pages = {100--108},
  publisher = {SBC},
  address = {Porto Alegre, RS, Brasil},
  doi = {10.5753/sbseg_estendido.2026.33555},
  url = {https://sol.sbc.org.br/index.php/sbseg_estendido/article/view/44456}
}

ライセンス

このプロジェクトは MIT ライセンスの下でライセンスされています。詳細は LICENSE を参照してください。

amcache-evilhunter

人気