sh1n0g1/z9Обнаруживает артефакты вредоносного ПО на основе PowerShell из журналов событий и выполняет статический анализ скриптов PowerShell для выявления вредоносной активности.
Этот инструмент обнаруживает артефакты вредоносного ПО на основе PowerShell из журнала событий ведения журнала PowerShell.
Онлайн-демо
git clone https://github.com/Sh1n0g1/z9
cd z9
pip install -r requirements.txt
usage: z9.py [-h] [--output OUTPUT] [-s] [--no-viewer] [--utf8] input
positional arguments:
input Input file path
options:
-h, --help show this help message and exit
--output OUTPUT, -o OUTPUT
Output file path
-s, --static Enable Static Analysis mode
--no-viewer Disable opening the JSON viewer in a web browser
--utf8 Read scriptfile in utf-8 (deprecated)
python z9.py <input file> -o <output json>
python z9.py <input file> -o <output json> --no-viewer
| Аргументы | Значение |
|---|---|
input file | XML-файл, экспортированный из журнала событий |
-o output json | имя файла результата z9 |
--no-viewer | не открывать просмотрщик |
Пример)
python z9.py util\log\mwpsop.xml -o sample1.json
python z9.py <input file> -o <output json> -s
python z9.py <input file> -o <output json> -s --utf8
python z9.py <input file> -o <output json> -s --no-viewer
Пример)
python z9.py malware.ps1 -o sample1.json -s
util/enable_powershell_logging.reg.util/collect_psevent.bat.util/log.util/collect_psevent.bat с правами администратора| Аргументы | Значение |
|---|
input file | Файл PowerShell для анализа |
-o output json | имя файла результата z9 |
-s | выполнить статический анализ |
--utf8 | укажите, если входной файл в UTF-8 |
--no-viewer | не открывать просмотрщик |