mcpField
H
hunting-for-anomalous-powershell-execution

hunting-for-anomalous-powershell-execution

github.com/mukul975安全35.2k57 次安装8 周前更新
代码仓库

关于 hunting-for-anomalous-powershell-execution

面向分析师的安全技能，用于在 Windows 终端狩猎可疑 PowerShell 活动。它解析 EVTX 日志，并检查脚本块中的混淆、编码命令、下载器和凭据窃取模式。

主要功能

  1. 01解析 PowerShell EVTX 日志
  2. 02重组多部分脚本块
  3. 03检测 AMSI 绕过和混淆
  4. 04识别编码命令与载荷
  5. 05标记下载器和凭据窃取行为

适用场景

  1. 01调查可疑 PowerShell 执行
  2. 02基于 Event 4104 日志开展狩猎
  3. 03排列恶意脚本发现的优先级

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-anomalous-powershell-execution

安装后在 Claude Code 中输入/hunting-for-anomalous-powershell-execution确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

追踪异常 PowerShell 执行

概述

PowerShell 脚本块日志记录（事件 ID 4104）会记录在 Windows 端点执行的完整去混淆脚本文本，使其成为追踪恶意 PowerShell 的主要数据源。结合模块日志记录（4103）和进程创建事件，分析师可以检测编码命令、AMSI 绕过模式、下载器、凭据窃取工具以及无文件攻击技术，即使攻击者使用了混淆层。

何时使用

  • 在调查需要追踪异常 PowerShell 执行的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前置条件

  • 来自 Microsoft-Windows-PowerShell/Operational 的 Windows 事件日志导出文件（.evtx）
  • Python 3.8+ 及 python-evtx 和 lxml 库
  • 通过组策略启用脚本块日志记录
  • 了解常见的 PowerShell 攻击技术

步骤

  1. 解析 EVTX 文件，提取事件 4104 的脚本块文本和元数据
  2. 使用脚本块 ID 关联重新组合多部分脚本块
  3. 扫描脚本文本中的 AMSI 绕过指标和混淆模式
  4. 检测编码命令执行和 base64 载荷
  5. 识别下载器、凭据转储和横向移动命令
  6. 按威胁严重性对发现结果进行评分和优先级排序

预期输出

{
  "total_events": 1247,
  "suspicious_events": 23,
  "amsi_bypass_attempts": 2,
  "encoded_commands": 8,
  "download_cradles": 5,
  "credential_access": 3
}

评论

支持 Markdown