AmCache-EvilHunter

AmCache-EvilHunter — это инструмент командной строки для разбора и анализа реестровых кустов Windows Amcache.hve, выявления следов выполнения, подозрительных исполняемых файлов, а также интеграции с VirusTotal/OpenTIP для расширенной аналитики угроз.

https://github.com/user-attachments/assets/e23fb99b-48ad-4260-b372-2f15e5320c74

Возможности

• Разбор автономных реестровых кустов Amcache.hve.
• Фильтрация записей по диапазону дат (--start, --end).
• Поиск записей по ключевым словам (--search).
• Выявление известных подозрительных исполняемых файлов (--find-suspicious).
• Выявление исполняемых файлов без издателя (--missing-publisher).
• Интеграция с Kaspersky OpenTIP для поиска по хэшам (--opentip, --only-detections).
• Интеграция с VirusTotal для поиска по хэшам (--vt, --only-detections).
• Экспорт результатов в JSON (--json) или CSV (--csv).

Требования

• Python 3.7 или выше
• requests
• python-registry
• rich

Установка зависимостей через pip:

pip3 install -r requirements.txt

Установка

git clone https://github.com/cristianzsh/amcache-evilhunter.git
cd amcache-evilhunter
pip3 install -r requirements.txt

Использование

python3 amcache_evilhunter.py -i path/to/Amcache.hve [OPTIONS]

Параметры

Примеры

• Разбор и отображение всех записей:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve
  

• Фильтрация по диапазону дат и поиск "notepad":

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --start 2021-01-01 --end 2021-12-31 --search notepad
  

• Выявление подозрительных исполняемых файлов и запрос к VirusTotal:

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --find-suspicious -v
  

• Экспорт обнаружений VirusTotal в JSON:

  root@kitploit:~

  export VT_API_KEY=YOUR_API_KEY
  python3 amcache_evilhunter.py -i Amcache.hve -v --only-detections --json detections.json
  

Переменные окружения

• VT_API_KEY: Ваш API-ключ VirusTotal, используемый для поиска по хэшам файлов.
• OPENTIP_API_KEY: Ваш API-ключ OpenTIP, используемый для поиска по хэшам файлов.

Сборка исполняемых файлов

Для генерации автономных бинарных файлов для Linux и Windows (через Wine) предоставляется скрипт build.sh.

chmod +x build.sh
./build.sh

Лицензия

Этот проект распространяется под лицензией MIT. Подробности см. в файле LICENSE.