DFIR_Resources_REvil_Kaseya

REvilランサムウェアKaseyaサプライチェーン攻撃に対応するDFIR専門家向けリソース 昨日、SophosとHuntress Labsは、MSPに人気のリモート管理プロバイダーであるKaseyaが侵害され、サプライチェーンランサムウェア攻撃を展開したことを特定しました。多数の組織が影響を受け、スウェーデンのCoOpスーパーマーケットチェーンでは一時的に800店舗が閉鎖されました。 当社はGithub上に、週末にかけてこれらの攻撃に対応するデジタルフォレンジックおよびインシデント対応の専門家を支援する可能性のあるリソースを多数提供しています： フォレンジック分析とレポート作成...

ATMMalScan

はじめに ATMMalScan は、Windows 7 以降のオペレーティングシステム向けのコマンドラインツールで、DFIR プロセス中に ATM 上のマルウェアの痕跡を検索するのに役立ちます。このツールは、システムの実行中のプロセスと、指定されたファイルパスに応じてハードディスクを調査します。システムをスキャンするには、標準権限を持つユーザーで十分です。ただし、ATMMalScan は管理者権限で最良の結果を提供します。 既知の問題: 現在、ATMMalScan は Unicode を必要とするコードページをサポートしていません。つまり、例えばキリル文字や中国語の文字に設定されている...

MasterParser

MasterParser v2.5 時間を無駄にするのはやめましょう、MasterParserに仕事を任せましょう！ 作成・メンテナンス者: Eilay Yosfan MasterParserとは？...

CyberPipe

CyberPipe v5.3 旧称 CSIRT-Collect DFIR 調査のためのメモリおよびディスクフォレンジックを収集する使いやすい PowerShell スクリプト。 機能: 🐏 MAGNET DumpIt（x86、x64、ARM64 対応）またはレガシーシステム向けの MAGNET RAM Capture を使用してメモリイメージをキャプチャします。 💻 選択可能なプロファイルまたはカスタムオプションを使用して、MAGNET Response CLI でトリアージデータを収集します。 🔐 MAGNET Encrypted Disk Detector...

loki-parse

loki-parse 一款Python脚本，能够检测并解析被入侵主机与C2服务器之间的loki-bot（恶意软件）相关网络流量。该脚本可帮助DFIR分析师和安全研究人员了解哪些数据被外泄至C2服务器、进行僵尸网络追踪等。 该脚本可以直接嗅探网络接口（无需交换机），或读取PCAP网络流量文件（使用 --pcap $pcapfile）。当脚本检测到loki-bot相关网络流量时，会以JSON格式将数据包中的内容输出到屏幕。...

irflow-timeline

IRFlow Timeline macOS ネイティブのフォレンジックタイムライン解析。EVTX、CSV、XLSX、Plaso、$MFT、$J、ローカル AI アシスタントアーティファクトをインポート・検索・調査 — AI Secret Hunt と DFIR プロフェッショナルが実際に必要とする分析機能を搭載。Electron + SQLite 上に構築され、数百万行のデータも難なく処理します。 Eric Zimmerman の Windows 用 Timeline Explorer に着想を得ています。 主な機能 AI アーティファクト — Claude...

macos-collector

macos-collector macos-collector - 用于 DFIR 的 macOS 取证工件自动化收集 macos-collector.sh 是一个 Shell 脚本，主要用于通过 Jamf Threat Labs 的 Aftermath 从受感染的 macOS 终端收集 macOS 取证工件。 下载 从 Releases 部分下载最新版本的 macos-collector 。 !NOTE macos-collector 默认包含所有外部工具。 !NOTE 默认压缩包密码：IncidentResponse !NOTE 隔离文件密码：infected !TIP...

yeti

Yeti プラットフォーム Yetiは、CTIとDFIRの実践者間のギャップを埋めることを目的としており、DFIRチーム向けのフォレンジックインテリジェンスプラットフォームとパイプラインを提供します。これは、「以前にこのアーティファクトをどこで見たのか？」や「タイムライン上でこの脅威（またはすべての脅威？）に関連するIOCをどのように検索すればよいのか？」という質問に答える必要性に対するフラストレーションから生まれました。 ドキュメントリンク： メインウェブサイト：https://yeti-platform.io/ ドキュメント ガイド Yetiとは？...

Sigma-Rules

Sigma-Rules 我们公开报告中生成的规则现已直接贡献给 SigmaHQ 项目。 您可以通过以下搜索找到与我们的报告相关的规则。 我们还为客户提供私有 Sigma 规则集，如果您对演示或访问私有规则感兴趣，请通过 https://thedfirreport.com/contact/ 联系我们。...

awesome-incident-response

出色的事件响应 一份精心整理的网络安全事件响应工具与资源清单，旨在帮助安全分析师和 DFIR 团队。 数字取证与事件响应（DFIR）团队是组织中负责管理安全事件响应的一组人员，包括收集事件证据、修复其影响以及实施控制措施以防止事件将来再次发生。 目录 对手模拟 一体化工具 书籍 社区 磁盘镜像创建工具 证据收集 事件管理 知识库 Linux 发行版 Linux 证据收集 日志分析工具 内存分析工具 内存镜像工具 OSX 证据收集 其他清单 其他工具 行动手册 进程转储工具 沙箱/逆向工具 扫描器工具 时间线工具 视频 Windows 证据收集 事件响应工具集 对手模拟...

ZeroScout

🦅 ZeroScout 自律型ローカル＆クラウド脅威ハンター 「ファイルをスキャンするだけじゃない。戦場を可視化しよう。」 🇹🇷 Türkçe Dökümantasyon İçin Tıklayın トルコ語で読む 🚀 ZeroScoutとは？ ZeroScout は、インシデント対応（DFIR）担当者 、SOCアナリスト 、マルウェア研究者 のために設計された、次世代脅威ハンティングフレームワークです。 「ブラックボックス」として動作する従来のアンチウイルススキャナとは異なり、ZeroScoutはサイバー防衛本部 として機能します。ライブの戦況室...

SharpHide

SharpHide DFIR調査を混乱させるための、ちょっとした永続化トリックです。 NtSetValueKeyネイティブAPIを使用して、隠し（null終端）レジストリキーを作成します。 これは、UNICODESTRINGキー値名の前にnullバイトを追加することで機能します。 このテクニックの詳細については、以下のホワイトペーパーを参照してください： https://github.com/ewhitehats/InvisiblePersistence/blob/master/InvisibleRegValuesWhitepaper.pdf...

ma2tl

ma2tl macapt からタイムラインへ これは、macapt の分析結果データベースから macOS フォレンジックタイムラインを生成する DFIR ツールです。 必要条件 Python 3.7.0 以降 pytz tzlocal xlsxwriter インストール root@kitploit: % git clone https://github.com/mnrkbys/ma2tl.git 使用方法 root@kitploit: % python ./ma2tl.py -h usage: ma2tl.py -h -i INPUT -o OUTPUT -ot OUTPUTTYPE ...

ma2tl

ma2tl macapt to timeline This is a DFIR tool for generating a macOS forensic timeline from the analysis result DBs of macapt. Requirements Python 3.7.0 or later pytz tzlocal xlsxwriter Installation root@kitploit: % git clone https://github.com/mnrkbys/ma2tl.git Usage root@kitploit: % python...

ThreatActors-TTPs

脅威アクターとランサムウェア - TTPs このリポジトリは、アクティブまたは非アクティブなランサムウェア事業者/グループ やその他の脅威アクター が採用している戦術、技術、手順（TTPs）を、MITRE ATT &CKフレームワークに基づいて研究する際に、企業 や独立した研究者を支援する目的で作成されました。 このコンテンツには、TTPマッピング、活動の履歴 、悪用されたCVE（Common Vulnerabilities and Exposures）の記録が含まれています。さらに、DFIR/CTI分野における コマンド、ツール 、およびアーティファクト調査に有用な場所...

ThreatActors-TTPs

注記：これはCrocodyliからのフォークです - 自分の目的のために追加しているだけです。https://incidentbuddy.ai のgapMATRIXページを動かすために使っています。 脅威アクターとランサムウェア - TTPs このリポジトリは、アクティブまたは非アクティブなランサムウェアオペレーター/グループ やその他の脅威アクター が採用している、MITRE ATT &CKフレームワークに基づく戦術、技術、手順（TTPs）を、企業 や独立研究者が研究するのを支援する目的で作成されました。 このコンテンツには、TTPマッピング、活動の歴史 、悪用されたCVE（Commo...

CVE-2025-31702

CVE-2025-31702 — 研究工具与DFIR资料 包含与CVE-2025-31702及相关问题分析和发现相关的工具、利用代码及研究制品的仓库。 更多信息与深入分析：https://labs.itresit.es/2025/10/15/dahua-cve-2025-31702-p2p-auto-update-eop/ 概述 本项目收集了用于调查CVE-2025-31702 及相关运营问题（特别是P2P/Easy4IP暴露和自动更新不一致性）的材料。包含实验室脚本、解析器及笔记，帮助复现和验证DFIR过程中观察到的行为。代码仅适用于授权环境中的 防御 用途。 范围与目标...

forensic-timeliner

Un motor de procesamiento forense de alta velocidad diseñado para investigadores de DFIR. Consolide rápidamente la salida CSV de las mejores herramientas de triaje en una mini línea de tiempo unificada con filtrado integrado, detección de artefactos, filtrado por fechas, etiquetado de palabras...

UnderlayCopy

UnderlayCopy UnderlayCopy 是一个 PowerShell 实用工具，用于底层 NTFS 采集以及转储受保护、被锁定的系统文件（例如：SAM 、SYSTEM 、NTDS.dit 、注册表配置单元 ，以及其他在 Windows 运行时通常无法访问的文件）。它支持两种互补模式，无需使用 VSS 或标准文件 I/O 即可实现此目的： MFT 模式 ：解析 $MFT 记录，并通过读取原始卷扇区来重建/复制文件数据。 元数据模式 ：使用文件系统元数据（fsutil）将文件映射到簇并复制原始扇区。 用途 ：研究、红队演练和 DFIR 采集。 不适用于 ：未授权访问或恶意使用。...

Collect-MemoryDump

Collect-MemoryDump Collect-MemoryDump - DFIRのためのWindowsメモリスナップショットの自動作成 Collect-MemoryDump.ps1は、フォレンジック的に健全な方法で、動作中のWindowsシステム（ページファイル収集を含む）からメモリスナップショットを収集するために使用されるPowerShellスクリプトです。 機能: ARM64対応（MAGNET DumpIt for Windows および MAGNET Response） メモリ取得開始前にホスト名と物理メモリサイズを確認...