Windows Defender Security Auditor

엔터프라이즈급 Windows 보안 태세 및 위협 헌팅 평가 도구

Amish Kumar 개발 — 보안 연구원 / 보안 엔지니어

CVE-2026-50656

개요

Windows Defender Security Auditor는 Windows 엔드포인트와 서버 전반에 걸친 엔터프라이즈 배포를 위해 설계된 포괄적이고 비간섭적인 PowerShell 기반 보안 평가 도구입니다. Microsoft Defender 구성, OS 보안 태세, 자격 증명 보안, 지속성 메커니즘, 네트워크 활동, 알려진 위협 지표를 모두 읽기 전용(READ-ONLY) 모드로 심층 점검합니다.

원래 CVE-2026-50656 관련 노출을 평가하기 위해 제작된 이 도구는 SOC 팀, 보안 엔지니어, 침투 테스터, 시스템 관리자에게 적합한 전체 스펙트럼 Windows 보안 감사 도구로 발전했습니다.

[!IMPORTANT] 이 도구는 어떤 취약점도 악용하지 않습니다. 단지 읽고 보고만 할 뿐입니다.

지원 플랫폼

요구 사항:

• PowerShell 5.1 이상
• 관리자 권한(전체 평가에 권장)
• 타사 종속성 없음 — 기본 제공 Windows cmdlet만 사용

주요 기능

• 26개 보안 평가 모듈 — 모든 중요 공격 표면 포괄
• 머신 역할 자동 감지 — 워크스테이션, 서버 또는 도메인 컨트롤러
• 색상 코드 심각도 출력 — CRITICAL(빨간색), HIGH(주황색), MEDIUM(노란색), INFO(청록색), PASS(초록색)
• 결과 자동 내보내기 — 엔터프라이즈 수집용 타임스탬프가 포함된 .txt 파일
• 심각도 기반 결과 요약 — 총 개수 포함
• 종속성 제로 — PowerShell 5.1 이상이 설치된 모든 Windows 머신에서 실행 가능
• 100% 읽기 전용 — 어떠한 시스템 수정도 없음

보안 평가 모듈

빠른 시작

1. 다운로드

git clone https://github.com/eh-amish/Windows-Defender-Security-Auditor-CVE-2026-50656-.git
cd Windows-Defender-Security-Auditor(CVE-2026-50656)-

2. 실행(관리자 권한 권장)

# Open PowerShell as Administrator, then:
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process
.\CVE-2026-50656_MsMpEng_Audit.ps1

3. 결과 검토

스크립트는 다음을 수행합니다:

• 터미널에 색상 코드로 구분된 결과 표시
• 전체 보고서를 동일한 디렉터리에 자동 저장:
  root@kitploit:~

  AMISH_SecurityAudit_<HOSTNAME>_<YYYYMMDD_HHmmss>.txt
  

사용 예제

단일 워크스테이션 평가

powershell -ExecutionPolicy Bypass -File .\CVE-2026-50656_MsMpEng_Audit.ps1

PsExec를 통한 원격 실행

PsExec.exe \\TARGET_HOST -s powershell -ExecutionPolicy Bypass -File "\\share\CVE-2026-50656_MsMpEng_Audit.ps1"

GPO / SCCM / Intune을 통한 엔터프라이즈 배포

1. 모든 엔드포인트가 액세스할 수 있는 네트워크 공유에 스크립트를 배치합니다
2. 예약된 작업 또는 GPO 시작 스크립트를 생성합니다:
   root@kitploit:~

   powershell.exe -ExecutionPolicy Bypass -File "\\FileServer\SecurityAudit\CVE-2026-50656_MsMpEng_Audit.ps1"
   

3. 중앙 검토를 위해 각 엔드포인트에서 출력 .txt 파일을 수집합니다

PowerShell 원격(다중 호스트)

$Hosts = @("SERVER01", "SERVER02", "WS-PC01", "WS-PC02")
$ScriptBlock = Get-Content .\CVE-2026-50656_MsMpEng_Audit.ps1 -Raw

foreach ($H in $Hosts) {
    Invoke-Command -ComputerName $H -ScriptBlock ([scriptblock]::Create($ScriptBlock))
}

샘플 출력

    ___    __  ___________ __  __
   /   |  /  |/  /  _/ __// / / /
  / /| | / /|_/ // / _\ \ / /_/ /
 / ___ |/ /  / // / /__ \/ __  /
/_/  |_/_/  /_/___/____/_/ /_/

        SECURITY RESEARCHER

========================================================================
                    AMISH SECURITY RESEARCH
========================================================================

               WINDOWS SECURITY AUDITOR v2.0.0

======================================================================
 MODULE 03 - MICROSOFT DEFENDER STATUS
======================================================================
 Product Version                      : 4.18.26060.3008
 Engine Version                       : 1.1.26060.3008
 Real-Time Protection                 : True
 Tamper Protection                    : True
 Signature Age                        : 4.2 hours

[PASS] Defender Engine meets original CVE threshold.
       Current  : 1.1.26060.3008
       Required : 1.1.26060.3008

======================================================================
 FINDINGS SUMMARY
======================================================================

  CRITICAL : 0
  HIGH     : 2
  MEDIUM   : 5
  INFO     : 3

  TOTAL    : 10

실행 모드 및 안전성

결과 심각도 수준

알려진 캠페인 IOC

이 스크립트는 RoguePlanet / ShieldBreak 캠페인과 관련된 지표를 탐색합니다:

파일 아티팩트:

• %USERPROFILE%\.claude\setup.mjs
• %USERPROFILE%\.vscode\setup.mjs
• %TEMP%\bun-dl-*

알려진 악성 해시(SHA1):

캠페인 도메인(SIEM/EDR/DNS 연관 분석용):

• npm-cache.com
• pypi-get.com
• js-mirror.com
• eth-mainnet.nodereal.io
• go.getblock.io
• eth.llamarpc.com

프로젝트 구조

AMISH-Windows-Defender-Security-Auditor/
|
|-- Amish_MsMpEng_Audit.ps1          # Main security auditor script
|-- README.md                         # This documentation
|-- LICENSE                           # MIT License
|
|-- (auto-generated on execution)
|   |-- AMISH_SecurityAudit_<HOST>_<DATE>.txt   # Assessment report

로드맵

• 대화형 대시보드가 포함된 HTML 보고서 생성
• SIEM 수집을 위한 JSON/CSV 내보내기
• Active Directory 보안 평가 모듈
• 인증서 저장소 분석
• AMSI 우회 탐지
• WDAC / AppLocker 정책 검토
• 해시 조회를 위한 VirusTotal API 통합
• 다중 호스트 병렬 실행 래퍼
• Defender for Endpoint(MDE) 센서 상태 점검

기여

기여는 언제나 환영합니다! 새 모듈, 추가 IOC 또는 개선 아이디어가 있다면:

1. 저장소를 포크합니다
2. 기능 브랜치를 생성합니다 (git checkout -b feature/new-module)
3. 변경 사항을 커밋합니다 (git commit -m 'Add new security module')
4. 브랜치에 푸시합니다 (git push origin feature/new-module)
5. 풀 리퀘스트를 엽니다

면책 조항

이 도구는 승인된 보안 평가 및 방어 목적으로만 제공됩니다. 보안 팀이 평가 권한을 가진 시스템에서 오구성, 노출 및 침해 지표를 식별하도록 돕기 위해 설계되었습니다.

저자는 이 도구로 인해 발생한 오용이나 손해에 대해 책임을 지지 않습니다. 시스템에서 보안 평가를 실행하기 전에 항상 적절한 권한을 보유하고 있는지 확인하십시오.

이 스크립트는 CVE-2026-50656을 악용하지 않습니다. 취약점 노출 상태, 보안 제어, 알려진 지표 및 사용 가능한 호스트 원격 측정 데이터를 평가합니다.