AmCache-EvilHunter

AmCache-EvilHunter는 Windows Amcache.hve 레지스트리 하이브를 파싱하고 분석하여 실행 증거와 의심스러운 실행 파일을 식별하고, VirusTotal/OpenTIP 조회를 통합하여 향상된 위협 인텔리전스를 제공하는 명령줄 도구입니다.

https://github.com/user-attachments/assets/e23fb99b-48ad-4260-b372-2f15e5320c74

특징

• 오프라인 Amcache.hve 레지스트리 하이브를 파싱합니다.
• 날짜 범위로 레코드를 필터링합니다 (--start, --end).
• 키워드로 레코드를 검색합니다 (--search).
• 알려진 의심스러운 실행 파일을 식별합니다 (--find-suspicious).
• 게시자가 없는 실행 파일을 식별합니다 (--missing-publisher).
• 해시 조회를 위한 Kaspersky OpenTIP 통합 (--opentip, --only-detections).
• 해시 조회를 위한 VirusTotal 통합 (--vt, --only-detections).
• 결과를 JSON (--json) 또는 CSV (--csv)로 내보냅니다.

요구 사항

• Python 3.7 이상
• requests
• python-registry
• rich

pip을 통해 의존성을 설치합니다:

pip3 install -r requirements.txt

설치

git clone https://github.com/cristianzsh/amcache-evilhunter.git
cd amcache-evilhunter
pip3 install -r requirements.txt

사용법

python3 amcache_evilhunter.py -i path/to/Amcache.hve [OPTIONS]

옵션

예제

• 모든 레코드를 파싱하고 표시:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve
  

• 날짜 범위로 필터링하고 "notepad" 검색:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --start 2021-01-01 --end 2021-12-31 --search notepad
  

• 의심스러운 실행 파일 식별 및 VirusTotal 조회:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --find-suspicious -v
  

• VirusTotal 탐지 결과를 JSON으로 내보내기:

  root@kitploit:~

  export VT_API_KEY=YOUR_API_KEY
  python3 amcache_evilhunter.py -i Amcache.hve -v --only-detections --json detections.json
  

환경 변수

• VT_API_KEY: 파일 해시 조회에 사용되는 VirusTotal API 키입니다.
• OPENTIP_API_KEY: 파일 해시 조회에 사용되는 OpenTIP API 키입니다.

실행 파일 빌드

Linux 및 Windows(Wine 경유)용 독립 실행형 바이너리를 생성하기 위한 build.sh 스크립트가 제공됩니다.

chmod +x build.sh
./build.sh

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE를 참조하세요.