EvilMist

EvilMist는 클라우드 보안 구성 감사, 클라우드 침투 테스트 및 클라우드 레드 팀 운영을 지원하도록 설계된 스크립트 및 유틸리티 모음입니다. 이 툴킷은 잘못된 구성을 식별하고, 권한 상승 경로를 평가하며, 공격 기술을 시뮬레이션하는 데 도움을 줍니다. EvilMist는 클라우드 중심의 레드 팀 워크플로우를 간소화하고 클라우드 인프라의 전반적인 보안 태세를 개선하는 것을 목표로 합니다.

---

도구

인증되지 않은 Entra ID 열거

인증되지 않은 Azure/Entra ID 열거 및 정찰 도구입니다. 인증 토큰 없이 공개적으로 접근 가능한 API 및 DNS 쿼리를 사용하여 수동/반수동 열거를 수행합니다.

주요 기능:

• 인증 불필요 - Azure 토큰 또는 자격 증명 없이 작동
• 테넌트 검색 - azmap.dev 및 OpenID 구성을 통해 테넌트 ID, 이름, 지역 검색
• 도메인 영역 분석 - 관리형(Manged) vs 페더레이션(Federated) 인증 식별
• 사용자 존재 확인 - GetCredentialType API를 통한 이메일 주소 확인
• DNS 정찰 - MX, SPF, TXT, CNAME, SRV, Autodiscover 레코드 열거
• 포트 스캔 - 일반적인 Azure 포트(HTTPS, LDAP, Kerberos, RDP) 확인
• 스텔스 모드 - 속도 제한 회피를 위한 구성 가능한 지연 및 지터
• 내보내기 옵션 - JSON 및 CSV 내보내기 형식

버전	문서	파일
PowerShell	EntraEnum-PS1.md	scripts/powershell/Invoke-EntraEnum.ps1

---

Enumerate-EntraUsers

포괄적인 Azure Entra ID(Azure AD) 사용자 열거 및 보안 평가 도구로, PowerShell 및 Python 버전으로 제공됩니다.

주요 기능:

• 15개 이상의 사용자 열거 방법 - 직접 /users 접근이 차단된 경우에도 작동
• 보안 평가 - MFA 상태, 권한 있는 역할, 오래된 계정, 게스트 사용자
• 자격 증명 공격 표면 - SSPR, 레거시 인증, 앱 비밀번호 분석
• 조건부 액세스 분석 - 정책 열거 및 격차 탐지
• 장치 및 Intune 열거 - 관리 장치, 규정 준수 정책
• 공격 경로 분석 - 권한 상승 경로 및 측면 이동
• Power Platform - Power Apps 및 Power Automate 흐름 열거
• 내보내기 옵션 - BloodHound/AzureHound JSON, HTML 보고서, CSV/JSON
• 스텔스 모드 - 탐지 회피를 위한 구성 가능한 지연 및 지터

버전	문서	파일
PowerShell	EntraRecon-PS1.md	scripts/powershell/Invoke-EntraRecon.ps1
Python	EntraRecon-PY.md	scripts/python/entra_recon.py

---

MFA 보안 점검

MFA(Multi-Factor Authentication)가 활성화되지 않은 Azure Entra ID 사용자를 식별하기 위한 집중 보안 평가 도구입니다. 공유 사서함 탐지 및 로그인 활동 분석을 위한 고급 기능을 포함합니다.

주요 기능:

• MFA 탐지 - 강력한 인증 방법이 없는 사용자 식별
• 마지막 로그인 추적 - 마지막 로그인 날짜/시간 및 활동 패턴 표시
• 공유 사서함 탐지 - 공유 사서함 계정 자동 식별 및 필터링
• 로그인 가능 여부 확인 - 계정이 실제로 인증할 수 있는지 확인
• 위험 평가 - 사용자를 위험 수준(HIGH/MEDIUM/LOW)으로 분류
• 활동 분석 - 로그인 통계, 부서별 분석, 오래된 계정
• 매트릭스 보기 - 빠른 시각적 스캔을 위한 간결한 테이블 형식
• 내보내기 옵션 - 포괄적인 사용자 세부 정보를 포함한 CSV/JSON
• 스텔스 모드 - 탐지 회피를 위한 구성 가능한 지연 및 지터

버전	문서	파일
PowerShell	EntraMFACheck-PS1.md	scripts/powershell/Invoke-EntraMFACheck.ps1

---

게스트 계정 열거

Azure Entra ID의 외부 사용자를 식별, 분석 및 보안 태세를 평가하기 위한 포괄적인 게스트 계정 분석 도구입니다. 게스트 액세스 거버넌스 및 보안 감사에 필수적입니다.

주요 기능:

• 게스트 계정 검색 - 테넌트의 모든 게스트 사용자 열거
• MFA 상태 탐지 - MFA가 없는 게스트 식별
• 마지막 로그인 추적 - 게스트의 로그인 날짜/시간 및 활동 패턴 표시
• 게스트 도메인 추출 - 게스트 사용자의 원본 조직 식별
• 초대 상태 추적 - 수락됨, 보류 중 또는 만료된 초대 표시
• 위험 평가 - 게스트를 위험 수준(HIGH/MEDIUM/LOW)으로 분류
• 활동 분석 - 로그인 통계, 오래된 계정, 사용되지 않은 초대
• 매트릭스 보기 - 빠른 시각적 스캔을 위한 간결한 테이블 형식
• 필터링 옵션 - MFA가 없는 게스트만 표시하거나 비활성화된 계정 포함
• 내보내기 옵션 - 포괄적인 게스트 세부 정보를 포함한 CSV/JSON
• 스텔스 모드 - 탐지 회피를 위한 구성 가능한 지연 및 지터

버전	문서	파일
PowerShell	EntraGuestCheck-PS1.md	scripts/powershell/Invoke-EntraGuestCheck.ps1

---

중요 관리 액세스 점검

PowerShell 도구, 관리 포털, 핵심 Microsoft 365 서비스, 권한 있는 ID 관리를 포함한 10개의 중요 관리 애플리케이션에 대한 액세스 권한이 있는 Azure Entra ID 사용자를 식별하는 포괄적인 보안 평가 도구입니다. 권한 있는 액세스 거버넌스 및 관리 도구 감사에 필수적입니다.

주요 기능:

• 중요 액세스 검색 - 모든 계층의 관리 애플리케이션에 대한 액세스 권한이 있는 사용자 열거
• 명시적 할당 중심 - 상승된/관리자 액세스 권한이 있는 사용자 표시(기본 사용자 액세스 제외)
• 기본 액세스 탐지 - 기본 액세스 권한이 있는 앱 자동 탐지 및 경고
• 보안 중심 결과 - 권한 있는 사용자에 초점을 맞추기 위해 기본 사용자 액세스 노이즈 제거
• 다중 애플리케이션 적용 범위 - 10가지 중요 앱 추적: Azure/AD PowerShell, Azure CLI, Graph 도구, M365/Azure 포털, Exchange/SharePoint Online, PIM
• MFA 상태 탐지 - MFA가 없는 권한 있는 사용자 식별
• 마지막 로그인 추적 - 로그인 날짜/시간 및 활동 패턴 표시
• 할당 추적 - 사용자에게 관리 액세스 권한이 부여된 시점 표시
• 위험 평가 - 사용자를 위험 수준(HIGH/MEDIUM/LOW)으로 분류
• 활동 분석 - 로그인 통계, 오래된 계정, 비활성 사용자
• 매트릭스 보기 - 빠른 시각적 스캔을 위한 간결한 테이블 형식
• 필터링 옵션 - MFA가 없는 사용자만 표시하거나 비활성화된 계정 포함
• 내보내기 옵션 - 포괄적인 액세스 세부 정보를 포함한 CSV/JSON
• 스텔스 모드 - 탐지 회피를 위한 구성 가능한 지연 및 지터

버전	문서	파일
PowerShell	EntraAppAccess-PS1.md	scripts/powershell/Invoke-EntraAppAccess.ps1

---

빠른 시작

스크립트 디스패처 (PowerShell)

하위 폴더로 이동하지 않고 루트 디렉터리에서 모든 스크립트 실행:```powershell

Interactive mode - shows menu to select script

.\Invoke-EvilMist.ps1

Execute specific script directly

.\Invoke-EvilMist.ps1 -Script EntraRecon -ExportPath "users.csv"

List all available scripts

.\Invoke-EvilMist.ps1 -List

Execute with any parameters (all passed through to target script)

.\Invoke-EvilMist.ps1 -Script EntraMFACheck -Matrix -OnlyNoMFA

**사용 가능한 스크립트:** EntraEnum, EntraRecon, EntraMFACheck, EntraGuestCheck, EntraAppAccess, EntraRoleCheck, EntraServicePrincipalCheck, EntraConditionalAccessCheck, EntraAdminUnitCheck, EntraStaleAccountCheck, EntraDeviceCheck, EntraSSPRCheck, EntraPasswordPolicyCheck, EntraLegacyAuthCheck, EntraLicenseCheck, EntraDirectorySyncCheck, EntraPowerPlatformCheck, EntraGroupCheck, EntraApplicationCheck, EntraAttackPathCheck, EntraAzureRBACCheck, EntraOAuthConsentCheck, EntraSignInRiskCheck, EntraPIMCheck, EntraKeyVaultCheck, EntraStorageAccountCheck, EntraNetworkSecurityCheck, EntraManagedIdentityCheck, EntraExchangeCheck, EntraSharePointCheck, EntraTeamsCheck, EntraAzureAttackPathCheck, EntraReport, EntraComplianceCheck, SharePointEnum

### 인증되지 않은 Entra ID 열거 (PowerShell)

**요구 사항:** PowerShell 7+ (추가 모듈 불필요)```powershell
# Basic domain enumeration (TenantInfo, DomainRealm, DNS)
.\Invoke-EvilMist.ps1 -Script EntraEnum -Domain example.com

# Check if email exists
.\Invoke-EvilMist.ps1 -Script EntraEnum -Email [email protected] -UserEnum

# Bulk user enumeration from file
.\Invoke-EvilMist.ps1 -Script EntraEnum -EmailList users.txt -UserEnum -Throttle 1

# Full enumeration with export
.\Invoke-EvilMist.ps1 -Script EntraEnum -Domain example.com -All -ExportPath results.json

# Stealth mode
.\Invoke-EvilMist.ps1 -Script EntraEnum -Domain example.com -All -EnableStealth

📖 전체 문서: EntraEnum-PS1.md

Enumerate-EntraUsers (PowerShell)

요구 사항: PowerShell 7+```powershell

Using dispatcher (recommended)

.\Invoke-EvilMist.ps1 -Script EntraRecon

With Azure CLI token

.\Invoke-EvilMist.ps1 -Script EntraRecon -UseAzCliToken

Export all users

.\Invoke-EvilMist.ps1 -Script EntraRecon -ExportPath "users.csv"

Stealth mode

.\Invoke-EvilMist.ps1 -Script EntraRecon -EnableStealth

### Enumerate-EntraUsers (Python)

**요구 사항:** Python 3.8+, `msal`, `requests`

📖 **전체 문서:** [EntraRecon-PS1.md](https://github.com/logisek/evilmist/blob/main/docs/EntraRecon-PS1.md)```bash
# Install dependencies
pip install -r requirements.txt

# Run directly from subfolder
python scripts\python\entra_recon.py

📖 전체 문서: EntraRecon-PY.md

MFA 보안 검사 (PowerShell)

요구 사항: PowerShell 7+, Microsoft.Graph 모듈```powershell

Using dispatcher (recommended)

.\Invoke-EvilMist.ps1 -Script EntraMFACheck

Scan for users without MFA

.\Invoke-EvilMist.ps1 -Script EntraMFACheck

Export results to CSV

.\Invoke-EvilMist.ps1 -Script EntraMFACheck -ExportPath "no-mfa-users.csv"

Matrix view with all features

.\Invoke-EvilMist.ps1 -Script EntraMFACheck -Matrix -IncludeDisabledUsers