EvtMute

EvtMute Это инструмент, позволяющий в offensive-целях использовать YARA для применения фильтра к событиям, регистрируемым системой журналирования событий Windows. Использование Загрузите последнюю версию здесь. EvtMuteHook.dll содержит основную функциональность; после внедрения он применяет...

EventLogin-CVE-2025-29969

EventLogin - CVE-2025-29969 EventLogin은 MS-EVEN 프로토콜의 Time-of-check time-of-use 취약점입니다. 이 취약점을 통해 낮은 권한의 사용자가 원격 머신에 임의의 파일을 쓸 수 있어, 원격 쓰기를 위해 Administrator 계정이 필요하지 않게 됩니다. 이 저장소에는 두 개의 스크립트가 있습니다. 하나는 취약점을 무기화하는 스크립트writefileremotely.py이고, 다른 하나는 취약점의 기본 요소 중 하나를 사용하여 낮은 권한 사용자로서 원격 파일이 존재하는지...

LogonTracer

개념 LogonTracer v2 는 Windows Active Directory 이벤트 로그를 시각화하고 분석하여 악성 로그온을 조사하는 도구입니다. 이 도구는 로그온 관련 이벤트에서 발견된 호스트 이름또는 IP 주소과 계정 이름을 연결하여 그래프로 표시합니다. 이를 통해 어떤 계정에서 로그인 시도가 발생하고 어떤 호스트가 사용되었는지 확인할 수 있습니다. 이 도구는 Windows 로그온과 관련된 다음 이벤트 ID를 시각화할 수 있습니다. 이벤트 ID| 설명 ---|--- 4624| 로그온 성공 4625| 로그온 실패 4662...

WELA

WELA Windows Event Log Analyzer ゑ羅 Windows 이벤트 로그 설정 감사 도구 Yamato Security 제작 — DFIR에 중요한 이벤트를 실제로 기록하고 있는지 확인하세요. 📖 문서 보기 → 15개 언어 지원 — English · 日本語 · 繁體中文 · 한국어 · Deutsch · Türkçe · Français · Español · Português Brasil · Українська · हिन्दी · Bahasa Indonesia · မြန်မာဘာသာ · ไทย · العربية 🦅 소개...

z9

z9 Анализатор журналов PowerShell Японский Аннотация Этот инструмент обнаруживает артефакты вредоносного ПО на основе PowerShell из журнала событий ведения журнала PowerShell. Онлайн-демо Установка root@kitploit: git clone https://github.com/Sh1n0g1/z9 cd z9 pip install -r requirements.txt...

PhantomFS

Фальшивые файлы. Настоящая безопасность. Виртуальная файловая система-приманка для Windows — заманите атакующих в каталог, который выглядит настоящим, а затем поймайте их с поличным. Что такое PhantomFS? PhantomFS использует Windows Projected File System ProjFS для отображения виртуального...

Get-AppLockerEventlog

Get-AppLockerEventlog ОПИСАНИЕ Этот скрипт обрабатывает все каналы событий из журнала win-event, извлекая все записи, связанные с AppLocker. Скрипт собирает важные фрагменты информации, относящиеся к событиям, для целей криминалистики или охоты за угрозами, а также для устранения неполадок. Вот...

latma

Lateral movement analyzer tool Lateral movement analyzer LATMA collects authentication logs from the domain and Azure AD environments and searches for potential lateral movement attacks and suspicious activity, the lateral movement can be in the AD environment or between cloud and on-prem. The to...

SharpEventPersist

SharpEventPersist Персистентность с помощью записи/чтения шелл-кода из журнала событий. Использование Инструмент SharpEventPersist принимает 4 параметра, чувствительных к регистру: -file "C:\path\to\shellcode.bin" -instanceid 1337 -source Persistence -eventlog "Key Management Service". Шелл-код...

hayabusa

Генератор быстрых криминалистических временных шкал журналов событий Windows и инструмент для поиска угроз. Написан на безопасном по памяти Rust командой Yamato Security — единственный инструмент с открытым исходным кодом с полной поддержкой Sigma, включая корреляционные правила v2...

RsWindowsThingies

RsWindowsThingies Windows Thingies... но на Rust Инструменты listenmft Следить за изменением значений записей. root@kitploit: listenmft 0.2.0 Matthew Seyer See the differences in MFT attirbues. USAGE: listenmft.exe OPTIONS FLAGS: -h, --help Prints help information -V, --version Prints version...

GhostTask

Призрачная запланированная задача Вдохновленный исследованием WithSecure по манипуляции запланированными задачами, в котором объяснялась возможность создания запланированной задачи исключительно через манипуляцию ключами реестра. Такой подход позволяет обойти генерацию журналов событий создания...

DCSYNCMonitor

DCSYNCMonitor 설명 이 도구는 도메인 컨트롤러Domain Controller 동기화 시도를 알리기 위해 도메인 컨트롤러에 배포할 수 있는 애플리케이션/서비스입니다. 동기화 시도가 감지되면 도구는 Windows 이벤트 로그에 이벤트를 기록합니다. 이러한 이벤트는 SIEM에서 상관 분석할 수 있습니다. 또한 이 도구는 유효한 DC IP 목록을 사용할 수 있으며, 이 설정에서는 도메인 컨트롤러DC 동기화 시도가 DC가 아닌 IP에서 발생한 경우에만 경고합니다. 이 도구는 Microsoft ATA나 고급 IDS/IPS 같은...

VindicateTool

Vindicate -brightgreen Набор инструментов для обнаружения спуфинга LLMNR/NBNS/mDNS для сетевых администраторов Что такое Vindicate? Vindicate — это инструмент, который обнаруживает спуфинг служб имен, часто используемый сетевыми злоумышленниками для кражи учетных данных например, паролей Windows...

ZeroLogon-Exploitation-Check

도메인에서 CVE-2020-1472일명 ZeroLogon의 잠재적 악용 여부를 확인하기 위한 자동화 스크립트입니다. 이것은 여러 블로그에서 수집한 CVE-2020-1472의 실제 악용 여부를 판단하는 주요 아티팩트 중 일부를 자동화하는 매우 "빠르고 대충 만든" 스크립트입니다. 이상적으로는 두 번째 확인Security 및 System 이벤트 로그의 이벤트은 SIEM/Syslog/Event collector에서 수행할 수 있으며, 이는 이러한 악용을 탐지할 수 있을 만큼 오래된 이벤트를 유지합니다. 환경에서 netlogon 로그...

EnableWindowsLogSettings

Yamato Security의 DFIR 및 위협 헌팅을 위한 Windows 이벤트 로그 구성 가이드 English | 日本語 이 문서는 sigma 규칙에 대한 로깅을 중점으로 Windows 이벤트 로그를 올바르게 구성하고 모니터링하는 또 다른 가이드입니다. 이 문서는 작성 중이므로 정기적으로 다시 확인해 주시기 바랍니다. TLDR 기본 Windows 감사 설정에서는 sigma 탐지 규칙의 약 1020%만 사용할 수 있습니다. Windows 로그가 활성화되어 있어도 기본적으로 로그 최대 크기는 120MB이므로 증거가 빠르게 덮어...

PrintNightmare

TryHackMe | PrintNightmare PrintNightmare Learn about the vulnerability known as PrintNightmare CVE-2021-1675 and CVE-2021-34527 작업 6 탐지: Windows 이벤트 로그 Event Viewer Applications and Services Logs Microsoft Windows PrintService Admin...

Phant0m

Phant0m | Убийца журнала событий Windows Svchost является ключевым в реализации так называемых разделяемых процессов-служб, где несколько служб могут использовать один процесс для снижения потребления ресурсов. Группировка нескольких служб в один процесс экономит вычислительные ресурсы, и это...

RDP-Guard

RDP Guard RDP Guard 监视 Windows 安全日志中失败的 RDP 登录尝试，并通过 Windows 防火墙阻止滥用远程 IP 地址。 默认设置 事件 ID：4625 登录类型：3 或 10 阈值：3 次或更多审核失败 检查间隔：15 分钟 防火墙规则名称：RDPGUARDyyyyMMddHHmmssfff 如果一次检查发现需要阻止的 IP，则所有 IP 都会写入单个入站防火墙规则中，使用规则的 remoteip 范围。 如果某个 IP 已被现有的广泛入站阻止规则覆盖，则不会将其添加到新的 RDPGUARD... 规则中。 白名单默认值：127.0.0.1、::1...

EUVD-2026-74300

An uncontrolled recursion vulnerability in the Windows SIPA event log parser of Google go-attestation versions up to and including 0.6.1 allows an attacker to cause a denial of service DoS. The WinEvents.readELAMAggregation function recurses for every nested elamAggregation sub-event without...