AmCache-EvilHunter

AmCache-EvilHunter 是一款命令行工具，用于解析和分析 Windows Amcache.hve 注册表配置单元，识别执行痕迹、可疑可执行文件，并集成 VirusTotal/OpenTIP 查询以增强威胁情报。

https://github.com/user-attachments/assets/e23fb99b-48ad-4260-b372-2f15e5320c74

功能特性

• 解析离线的 Amcache.hve 注册表配置单元。
• 按日期范围筛选记录（--start，--end）。
• 使用关键词搜索记录（--search）。
• 识别已知可疑可执行文件（--find-suspicious）。
• 识别缺少发布者的可执行文件（--missing-publisher）。
• 集成 Kaspersky OpenTIP 进行哈希查询（--opentip，--only-detections）。
• 集成 VirusTotal 进行哈希查询（--vt，--only-detections）。
• 将结果导出为 JSON（--json）或 CSV（--csv）。

环境要求

• Python 3.7 或更高版本
• requests
• python-registry
• rich

通过 pip 安装依赖：

pip3 install -r requirements.txt

安装

git clone https://github.com/cristianzsh/amcache-evilhunter.git
cd amcache-evilhunter
pip3 install -r requirements.txt

用法

python3 amcache_evilhunter.py -i path/to/Amcache.hve [选项]

选项

示例

• 解析并显示所有记录：

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve
  

• 按日期范围筛选并搜索 "notepad"：

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --start 2021-01-01 --end 2021-12-31 --search notepad
  

• 识别可疑可执行文件并查询 VirusTotal：

  root@kitploit:~

  python3 amcache_evilhunter.py -i Amcache.hve --find-suspicious -v
  

• 将 VirusTotal 检测结果导出为 JSON：

  root@kitploit:~

  export VT_API_KEY=YOUR_API_KEY
  python3 amcache_evilhunter.py -i Amcache.hve -v --only-detections --json detections.json
  

环境变量

• VT_API_KEY：你的 VirusTotal API 密钥，用于文件哈希查询。
• OPENTIP_API_KEY：你的 OpenTIP API 密钥，用于文件哈希查询。

构建可执行文件

提供了一个 build.sh 脚本，用于为 Linux 和 Windows（通过 Wine）生成独立的二进制文件。

chmod +x build.sh
./build.sh

许可证

本项目采用 MIT 许可证。详见 LICENSE。