latma

Lateral movement analyzer tool Lateral movement analyzer LATMA collects authentication logs from the domain and Azure AD environments and searches for potential lateral movement attacks and suspicious activity, the lateral movement can be in the AD environment or between cloud and on-prem. The to...

GhostTask

Ghost Scheduled Task Inspirado por la investigación de WithSecure sobre manipulación de tareas programadas, explicaron la viabilidad de crear una tarea programada únicamente mediante manipulación de claves de registro. Este enfoque puede eludir la generación de registros de eventos de creación de...

DCSYNCMonitor

DCSYNCMonitor Descripción Esta herramienta es una aplicación/servicio que se puede implementar en controladores de dominio para alertar sobre intentos de sincronización de Controladores de Dominio. Cuando se detecta un intento, la herramienta escribe un evento en el Registro de Eventos de Windows...

VindicateTool

Vindicate -brightgreen Un kit de detección de suplantación LLMNR/NBNS/mDNS para administradores de redes ¿Qué es Vindicate? Vindicate es una herramienta que detecta la suplantación de servicios de nombres, utilizada a menudo por atacantes de redes informáticas para robar credenciales por ejemplo,...

EventLogin-CVE-2025-29969

EventLogin - CVE-2025-29969 EventLogin is a Time-of-check time-of-use vulnerability in the MS-EVEN protocol. The vulnerability enables low-privileged users to write arbitrary files to a remote machine, effectively bypassing the need for an Administrator account for a remote write. There are two...

PhantomFS

Archivos Falsos. Seguridad Real. Sistema de archivos honeypot virtual para Windows: atraiga a los atacantes a un directorio que parece real y luego atrápelos en el acto. ¿Qué es PhantomFS? PhantomFS utiliza el Sistema de Archivos Proyectado de Windows ProjFS para mostrar un directorio virtual lle...

SharpEventPersist

SharpEventPersist Persistencia mediante escritura/lectura de shellcode desde el Registro de Eventos. Uso La herramienta SharpEventPersist acepta 4 parámetros sensibles a mayúsculas: -file "C:\path\to\shellcode.bin" -instanceid 1337 -source Persistence -eventlog "Key Management Service". El...

EvtMute

EvtMute Esta es una herramienta que te permite usar YARA de manera ofensiva para aplicar un filtro sobre los eventos que reporta el registro de eventos de Windows. Uso Obtén la última versión desde aquí. EvtMuteHook.dll contiene la funcionalidad principal; una vez inyectado, aplicará un filtro...

Get-AppLockerEventlog

Get-AppLockerEventlog DESCRIPCIÓN Este script analizará todos los canales de eventos del registro de win-event para extraer todos los registros relacionados con AppLocker. El script recopilará toda la información importante relativa a los eventos con fines forenses o de caza de amenazas, o inclus...

hayabusa

Generador rápido de líneas de tiempo forenses de registros de eventos de Windows y herramienta de caza de amenazas. Escrito en Rust seguro en memoria por Yamato Security — la única herramienta de código abierto con soporte completo de Sigma, incluyendo reglas de correlación v2...

ZeroLogon-Exploitation-Check

Script to automate Checks for potential exploitation of CVE-2020-1472 aka ZeroLogon in the domain. This is a very "quick and dirty" script that automates some of the leading artifects in determining an actual exploitation of CVE-2020-1472, compiled from multiple blogs. Ideally, the 2nd check for...

WELA

WELA Analizador de Registros de Eventos de Windows ゑ羅 Una herramienta para auditar la configuración de los registros de eventos de Windows. Creado por Yamato Security — asegúrate de que estás registrando realmente los eventos que importan para DFIR. 📖 Leer la documentación → Disponible en 15...

LogonTracer

Concepto LogonTracer v2 es una herramienta para investigar inicios de sesión maliciosos mediante la visualización y el análisis de registros de eventos de Windows Active Directory. Esta herramienta asocia un nombre de host o una dirección IP y un nombre de cuenta encontrados en eventos relacionad...

RsWindowsThingies

RsWindowsThingies Windows Thingies... pero en Rust Herramientas listenmft Observa los cambios de valores de una entrada. listenmft 0.2.0 Matthew Seyer See the differences in MFT attirbues. USAGE: listenmft.exe OPTIONS FLAGS: -h, --help Prints help information -V, --version Prints version...

z9

Analizador de registros PowerShell z9 Japonés Resumen Esta herramienta detecta el artefacto del malware basado en PowerShell a partir del registro de eventos de PowerShell. Demo en línea Instalación git clone https://github.com/Sh1n0g1/z9 cd z9 pip install -r requirements.txt Cómo usar usage: z9....

Evtx_Log_Browser

Evtx Log xml Browser Browse through Windows evtx event logs & export to xml Latest version ishere Dependencies: .NET Framework 4.8 Powershell Version: 5.1...

EnableWindowsLogSettings

Yamato Security's Windows Event Log Configuration Guide For DFIR And Threat Hunting English | 日本語 This is yet another guide on properly configuring and monitoring Windows event logs with an emphasis on logging for sigma rules. This is a work in progress, so check back please periodically for...

PrintNightmare

TryHackMe | PrintNightmare PrintNightmare Learn about the vulnerability known as PrintNightmare CVE-2021-1675 and CVE-2021-34527 Task 6 Detection: Windows Event Logs Event Viewer Applications and Services Logs Microsoft Windows PrintService Admin...

Phant0m

Phant0m | Windows Event Log Killer Svchost is essential in the implementation of so-called shared service processes, where a number of services can share a process in order to reduce resource consumption. Grouping multiple services into a single process conserves computing resources, and this...

RDP-Guard

RDP Guard RDP Guard monitors failed RDP sign-in attempts in the Windows Security log and blocks abusive remote IP addresses through Windows Firewall. Defaults Event ID: 4625 LogonType: 3 or 10 Threshold: 3 or more audit failures Check interval: 15 minutes Firewall rule name:...