sh1n0g1/z9이벤트 로그에서 PowerShell 기반 악성코드 아티팩트를 탐지하고, PowerShell 스크립트에 대한 정적 분석을 수행하여 악성 활동을 식별합니다.
이 도구는 PowerShell 로깅의 이벤트 로그에서 PowerShell 기반 악성코드의 아티팩트를 탐지합니다.
온라인 데모
git clone https://github.com/Sh1n0g1/z9
cd z9
pip install -r requirements.txt
usage: z9.py [-h] [--output OUTPUT] [-s] [--no-viewer] [--utf8] input
positional arguments:
input Input file path
options:
-h, --help show this help message and exit
--output OUTPUT, -o OUTPUT
Output file path
-s, --static Enable Static Analysis mode
--no-viewer Disable opening the JSON viewer in a web browser
--utf8 Read scriptfile in utf-8 (deprecated)
python z9.py <input file> -o <output json>
python z9.py <input file> -o <output json> --no-viewer
| 인수 | 의미 |
|---|---|
input file | 이벤트 로그에서 내보낸 XML 파일 |
-o output json | z9 결과 파일 이름 |
--no-viewer | 뷰어를 열지 않음 |
예시)
python z9.py util\log\mwpsop.xml -o sample1.json
python z9.py <input file> -o <output json> -s
python z9.py <input file> -o <output json> -s --utf8
python z9.py <input file> -o <output json> -s --no-viewer
예시)
python z9.py malware.ps1 -o sample1.json -s
util/enable_powershell_logging.reg .util/collect_psevent.bat .util/log 디렉터리 아래에 XML 파일이 생성됩니다.util/collect_psevent.bat| 인수 | 의미 |
|---|
input file | 분석할 PowerShell 파일 |
-o output json | z9 결과 파일 이름 |
-s | 정적 분석 수행 |
--utf8 | 입력 파일이 UTF-8일 때 지정 |
--no-viewer | 뷰어를 열지 않음 |