AmCache-EvilHunter

AmCache-EvilHunter は、Windows の Amcache.hve レジストリハイブを解析・分析し、実行の証跡や不審な実行ファイルを特定し、VirusTotal/OpenTIP ルックアップを統合して脅威インテリジェンスを強化するコマンドラインツールです。

https://github.com/user-attachments/assets/e23fb99b-48ad-4260-b372-2f15e5320c74

特徴

• オフラインの Amcache.hve レジストリハイブを解析します。
• 日付範囲でレコードをフィルタリングします (--start, --end)。
• キーワードでレコードを検索します (--search)。
• 既知の不審な実行ファイルを特定します (--find-suspicious)。
• 発行元 (Publisher) のない実行ファイルを特定します (--missing-publisher)。
• Kaspersky OpenTIP 統合によるハッシュルックアップ (--opentip, --only-detections)。
• VirusTotal 統合によるハッシュルックアップ (--vt, --only-detections)。
• 結果を JSON (--json) または CSV (--csv) にエクスポートします。

要件

• Python 3.7 以上
• requests
• python-registry
• rich

依存関係は pip でインストールします:

pip3 install -r requirements.txt

インストール

git clone https://github.com/cristianzsh/amcache-evilhunter.git
cd amcache-evilhunter
pip3 install -r requirements.txt

使い方

python3 amcache_evilhunter.py -i path/to/Amcache.hve [OPTIONS]

オプション

例

• すべてのレコードを解析して表示する:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve
  

• 日付範囲でフィルタリングし、"notepad" を検索する:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --start 2021-01-01 --end 2021-12-31 --search notepad
  

• 不審な実行ファイルを特定し、VirusTotal に照会する:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --find-suspicious -v
  

• VirusTotal の検出結果を JSON にエクスポートする:

  root@kitploit:~

  export VT_API_KEY=YOUR_API_KEY
  python3 amcache_evilhunter.py -i Amcache.hve -v --only-detections --json detections.json
  

環境変数

• VT_API_KEY: ファイルハッシュのルックアップに使用する VirusTotal API キー。
• OPENTIP_API_KEY: ファイルハッシュのルックアップに使用する OpenTIP API キー。

実行可能ファイルのビルド

Linux と Windows（Wine 経由）の両方向けのスタンドアロンバイナリを生成する build.sh スクリプトが用意されています。

chmod +x build.sh
./build.sh

ライセンス

このプロジェクトは MIT ライセンスの下で提供されています。詳細は LICENSE を参照してください。