OmniTriage

Mecanismo de triagem de forense digital e resposta a incidentes (DFIR) em tempo real para Windows, sem dependências e em menos de um segundo, para respondedores USB.

OmniTriage resolve isso de forma limpa: construído do zero em 100% biblioteca padrão pura do Python (winreg, sqlite3, ctypes, subprocess, hashlib, struct). Sem pip install, sem binários externos, zero ruído em disco, executando em menos de 1 segundo e gerando um relatório HTML interativo e autônomo em modo escuro, juntamente com JSON estruturado.

🚀 Principais Recursos

• ⚡ Execução ao Vivo em Menos de um Segundo: Conclui uma triagem forense abrangente de disco completo em ~0,25 a 1,5 segundos.
• 🛡️ Zero Dependências de Terceiros: Funciona imediatamente em qualquer máquina Windows com Python instalado. Não grava utilitários temporários nem deixa executáveis no disco.
• 🔓 Bypass de Bloqueio SQLite (Consulta em Buffer Sombra): Extrai histórico de navegação e registros de download ao vivo do Chrome, Edge e Brave mesmo enquanto o suspeito ou usuário mantém o navegador aberto.
• 🧠 Evidências de Execução de Programas:
  • Histórico de comandos do PSReadLine PowerShell (ConsoleHost_history.txt) com sinalização heurística de palavras-chave (IEX, DownloadString, mimikatz, bypass, vssadmin).
  • RunMRU do Windows Explorer (histórico do diálogo Win+R).
  • Registros de execução GUI e timestamps do UserAssist decodificados em ROT13.
  • Registros forenses do Background Activity Moderator (BAM).
• 💾 Caça a Staging e Droppers:
  • Escaneia %TEMP%, %APPDATA% e %LOCALAPPDATA% em busca de binários suspeitos (.exe, .dll, .bat, .ps1, .vbs, .js, .scr).
  • Calcula hashes criptográficos SHA-256 de executáveis em staging para consultas instantâneas de hash.
  • Rastreamento de atividade de atalhos .lnk do Windows Recent.
• 📡 Pegada de Rede e USB:
  • Extrai perfis de Wi-Fi e SSIDs conhecidos (com fallback duplo de registro e Netsh).
  • Conexões históricas de unidades USB (Vendor, Product ID, número de série via USBSTOR).
  • Portas TCP em escuta ao vivo e conexões remotas ativas com associação de PID.
• 🔒 Auditoria de Persistência (MITRE T1547.001):
  • Audita chaves de autostart Run e RunOnce em HKCU e HKLM.
  • Inspeciona diretórios Startup de Usuário e Sistema.
• 🌐 Cache DNS e Caça a IoCs de C2:
  • Coleta entradas DNS resolvidas ao vivo (ipconfig /displaydns) para detectar infraestrutura ativa de Command & Control (ex.: ngrok, duckdns, pastebin, discord webhooks).
• 📡 Execução Remota de Código e Movimento Lateral (MITRE T1021 / T1059):
  • Audita o status do listener RDP (Porta, fDenyTSConnections) e sessões de logon do Terminal Services (Event ID 21/24/25).
  • Análise do PowerShell ScriptBlock Logging (Event 4104) em busca de payloads ofensivos (IEX, DownloadString, mimikatz, encodedcommand).
• 🏛️ Mineração de ShimCache (AppCompatCache):
  • Analisa o Application Compatibility Cache binário (estrutura 10ts) diretamente do Registro do Windows. Descobre caminhos históricos de executáveis maliciosos já excluídos!
• 📅 Persistência por Tarefas Agendadas (MITRE T1053.005):
  • Audita Tarefas Agendadas do Windows (schtasks) para detectar gatilhos automatizados suspeitos executando a partir de %TEMP%, %APPDATA% ou Users\Public.
• 🚨 Logs de Eventos do Windows e Anti-Forense (Event 7045 / 1102 / 104):
  • Descobre serviços do Windows e drivers de kernel instalados recentemente.
  • Detecta expurgos de logs de auditoria de segurança e adulteração anti-forense.
• 📊 Relatórios Interativos Autônomos:
  • Relatório HTML interativo em tema escuro (Triage_<HOST>_<TIMESTAMP>.html) com zero dependências de CDN (totalmente capaz de operar offline).
  • JSON estruturado normalizado (Triage_<HOST>_<TIMESTAMP>.json) pronto para ingestão em SIEM (Splunk, Elastic, Sentinel).

🗺️ Mapeamento MITRE ATT&CK

📂 Arquitetura do Projeto

⚡ Início Rápido

1. Execução Direta

2. Implantação em USB para Resposta a Incidentes

Copie a pasta OmniTriage para um pendrive de resposta a incidentes. Ao conectá-lo em uma máquina alvo, execute:

Ou diretamente pela linha de comando:

3. Argumentos de Linha de Comando

🔬 Exemplo de Saída ao Vivo

⚖️ Aviso Legal e Ético

Este software é desenvolvido estritamente para forense digital autorizada, resposta a incidentes, auditoria de sistemas e pesquisa educacional. Sempre obtenha autorização e consentimento adequados antes de adquirir artefatos em qualquer sistema computacional.

📄 Licença

Este projeto está licenciado sob a MIT License - de autoria de Çınar (@prox0959).