关于 analyzing-powershell-empire-artifacts
该技能面向 SOC 分析人员和威胁猎手，用于分析 PowerShell Empire 留在 Windows 事件日志中的痕迹。它识别启动器、编码载荷、模块和暂存 URL，并生成包含时间线与 MITRE ATT&CK 映射的 JSON 报告。
主要功能
- 01分析 Windows 事件日志或 EVTX
- 02识别 Empire 默认启动器
- 03检测暂存器与编码载荷特征
- 04匹配已知模块调用和 URL
- 05生成 IOC 与可疑事件时间线
- 06映射 MITRE ATT&CK 技术
适用场景
- 01调查涉及 PowerShell Empire 的安全事件
- 02构建相关检测规则或威胁狩猎查询
- 03评估安全监控对相关攻击技术的覆盖
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/analyzing-powershell-empire-artifacts确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
分析 PowerShell Empire 痕迹
概述
PowerShell Empire 是一个后渗透框架，由监听器、Stager 和 Agent 组成。其痕迹会在 Windows 事件日志中留下可检测的踪迹，尤其是 PowerShell 脚本块日志记录（事件 ID 4104）和模块日志记录（事件 ID 4103）。本技能会分析事件日志，以查找 Empire 的默认启动器字符串（powershell -noP -sta -w 1 -enc）、包含 System.Net.WebClient 和 FromBase64String 的 Base64 编码载荷、已知模块调用（Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation）以及暂存 URL 模式。
何时使用
- 在调查需要分析 powershell empire 痕迹的安全事件时
- 在为此领域构建检测规则或威胁狩猎查询时
- 当 SOC 分析师需要针对此类分析的结构化流程时
- 在验证相关攻击技术的安全监控覆盖范围时
前提条件
- Python 3.9+，并可访问 Windows 事件日志或导出的 EVTX 文件
- 通过组策略启用 PowerShell 脚本块日志记录（事件 ID 4104）
- 启用模块日志记录（事件 ID 4103）以实现全面覆盖
关键检测模式
- 默认启动器 —
powershell -noP -sta -w 1 -enc后跟 Base64 数据块 - Stager 指标 —
System.Net.WebClient、DownloadData、DownloadString、FromBase64String - 模块特征 — Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation、Invoke-PSInject、Invoke-DCOM
- 用户代理字符串 — HTTP 监听器配置中的默认 Empire 用户代理
- 暂存 URL —
/login/process.php、/admin/get.php及类似默认 URI 模式
输出
JSON 报告，包含匹配的 IOC、解码后的 Base64 载荷、可疑事件时间线、MITRE ATT&CK 技术映射以及严重性评分。
评论
支持 Markdown