PhantomFS

Фальшивые файлы. Настоящая безопасность. Виртуальная файловая система-приманка для Windows — заманите атакующих в каталог, который выглядит настоящим, а затем поймайте их с поличным. Что такое PhantomFS? PhantomFS использует Windows Projected File System ProjFS для отображения виртуального...

EventLogin-CVE-2025-29969

EventLogin - CVE-2025-29969 EventLogin은 MS-EVEN 프로토콜의 Time-of-check time-of-use 취약점입니다. 이 취약점을 통해 낮은 권한의 사용자가 원격 머신에 임의의 파일을 쓸 수 있어, 원격 쓰기를 위해 Administrator 계정이 필요하지 않게 됩니다. 이 저장소에는 두 개의 스크립트가 있습니다. 하나는 취약점을 무기화하는 스크립트writefileremotely.py이고, 다른 하나는 취약점의 기본 요소 중 하나를 사용하여 낮은 권한 사용자로서 원격 파일이 존재하는지...

hayabusa

Windows 이벤트 로그 빠른 포렌식 타임라인 생성기 및 위협 헌팅 도구. Rust로 작성되었으며 메모리 안전성을 보장합니다. Yamato Security 제작 — 유일하게 Sigma v2 상관 규칙 포함를 완전 지원하는 오픈소스 도구입니다. !https://img.shields.io/badge/Black%20Hat%20Arsena...

LogonTracer

개념 LogonTracer v2 는 Windows Active Directory 이벤트 로그를 시각화하고 분석하여 악성 로그온을 조사하는 도구입니다. 이 도구는 로그온 관련 이벤트에서 발견된 호스트 이름또는 IP 주소과 계정 이름을 연결하여 그래프로 표시합니다. 이를 통해 어떤 계정에서 로그인 시도가 발생하고 어떤 호스트가 사용되었는지 확인할 수 있습니다. 이 도구는 Windows 로그온과 관련된 다음 이벤트 ID를 시각화할 수 있습니다. 이벤트 ID| 설명 ---|--- 4624| 로그온 성공 4625| 로그온 실패 4662...

WELA

WELA Windows Event Log Analyzer ゑ羅 Windows 이벤트 로그 설정 감사 도구 Yamato Security 제작 — DFIR에 중요한 이벤트를 실제로 기록하고 있는지 확인하세요. 📖 문서 보기 → 15개 언어 지원 — English · 日本語 · 繁體中文 · 한국어 · Deutsch · Türkçe · Français · Español · Português Brasil · Українська · हिन्दी · Bahasa Indonesia · မြန်မာဘာသာ · ไทย · العربية 🦅 소개...

DCSYNCMonitor

DCSYNCMonitor 설명 이 도구는 도메인 컨트롤러Domain Controller 동기화 시도를 알리기 위해 도메인 컨트롤러에 배포할 수 있는 애플리케이션/서비스입니다. 동기화 시도가 감지되면 도구는 Windows 이벤트 로그에 이벤트를 기록합니다. 이러한 이벤트는 SIEM에서 상관 분석할 수 있습니다. 또한 이 도구는 유효한 DC IP 목록을 사용할 수 있으며, 이 설정에서는 도메인 컨트롤러DC 동기화 시도가 DC가 아닌 IP에서 발생한 경우에만 경고합니다. 이 도구는 Microsoft ATA나 고급 IDS/IPS 같은...

latma

Lateral movement analyzer tool Lateral movement analyzer LATMA collects authentication logs from the domain and Azure AD environments and searches for potential lateral movement attacks and suspicious activity, the lateral movement can be in the AD environment or between cloud and on-prem. The to...

VindicateTool

Vindicate -brightgreen 네트워크 관리자를 위한 LLMNR/NBNS/mDNS 스푸핑 탐지 툴킷 Vindicate란 무엇인가? Vindicate는 이름 서비스 스푸핑을 탐지하는 도구로, IT 네트워크 공격자가 사용자로부터 자격 증명예: Windows Active Directory 비밀번호을 탈취하는 데 자주 사용됩니다. Responder, Inveigh, NBNSpoof 및 Metasploit의 LLMNR, NBNS, mDNS 스푸퍼와 같은 해킹 도구 사용을 탐지하면서 오탐지를 피하도록 설계되었습니다. 이를 통해...

GhostTask

Ghost 예약 작업 WithSecure의 예약 작업 변조 연구에서 영감을 받아, 그들은 레지스트리 키 조작만으로 예약 작업을 생성하는 것이 가능함을 설명했습니다. 이러한 접근 방식은 4698 및 106과 같은 예약 작업 생성 이벤트 로그 생성을 우회할 수 있어, 지속성을 유지하는 더 은밀한 방법을 제공합니다. 이러한 통찰을 바탕으로, 저는 레지스트리 직접 조작을 통해 예약 작업 생성을 시연하는 이 POC를 개발했습니다. 새로운 예약 작업을 생성하려면 여러 레지스트리 키와 관련 값을 추가해야 합니다. 예약 작업과 관련된 레지스...

EvtMute

EvtMute 이 도구는 Windows 이벤트 로깅에서 보고되는 이벤트에 필터를 적용하기 위해 YARA를 공격적으로 사용할 수 있게 합니다. 사용법 최신 버전은 여기에서 받으세요. EvtMuteHook.dll에는 핵심 기능이 포함되어 있으며, 주입되면 모든 이벤트가 보고되도록 허용하는 임시 필터가 적용됩니다. 이 필터는 재주입 없이 동적으로 업데이트할 수 있습니다. 저는 SharpEvtMute.exe를 작성했으며, 이는 C 어셈블리로 shad0w의 execute 또는 cobalt strike의 execute-assembly를 ...

SharpEventPersist

SharpEventPersist 이벤트 로그에서 셸코드를 쓰고 읽어 지속성을 유지합니다. 사용법 SharpEventPersist 도구는 대소문자를 구분하는 4개의 매개변수를 사용합니다: -file "C:\path\to\shellcode.bin" -instanceid 1337 -source Persistence -eventlog "Key Management Service". 셸코드는 16진수로 변환되어 "Key Management Service"에 기록되며, 이벤트 수준은 "Information"으로 설정되고 소스는...

Get-AppLockerEventlog

Get-AppLockerEventlog 설명 이 스크립트는 Win-Event 로그의 모든 채널을 파싱하여 AppLocker 관련 로그를 추출합니다. 이 스크립트는 포렌식, 위협 헌팅 또는 문제 해결을 위해 이벤트와 관련된 모든 중요한 정보를 수집합니다. 다음은 Win-Event에서 가져오는 로그입니다: EXE 및 DLL, MSI 및 Script, Packaged app-Deployment, Packaged app-Execution. 출력: 결과가 화면에 표시됩니다. 그리고 결과는 CSV 파일AppLocker-log.csv로...

ZeroLogon-Exploitation-Check

도메인에서 CVE-2020-1472일명 ZeroLogon의 잠재적 악용 여부를 확인하기 위한 자동화 스크립트입니다. 이것은 여러 블로그에서 수집한 CVE-2020-1472의 실제 악용 여부를 판단하는 주요 아티팩트 중 일부를 자동화하는 매우 "빠르고 대충 만든" 스크립트입니다. 이상적으로는 두 번째 확인Security 및 System 이벤트 로그의 이벤트은 SIEM/Syslog/Event collector에서 수행할 수 있으며, 이는 이러한 악용을 탐지할 수 있을 만큼 오래된 이벤트를 유지합니다. 환경에서 netlogon 로그...

RsWindowsThingies

RsWindowsThingies Windows Thingies... 하지만 Rust로 도구 listenmft 항목의 값 변경을 관찰합니다. listenmft 0.2.0 Matthew Seyer See the differences in MFT attirbues. USAGE: listenmft.exe OPTIONS FLAGS: -h, --help Prints help information -V, --version Prints version information OPTIONS: -d, --debug Debug level to use...

z9

z9 PowerShell 로그 분석기 일본어 개요 이 도구는 PowerShell 로깅의 이벤트 로그에서 PowerShell 기반 악성코드의 아티팩트를 탐지합니다. 온라인 데모 설치 git clone https://github.com/Sh1n0g1/z9 cd z9 pip install -r requirements.txt 사용 방법 usage: z9.py -h --output OUTPUT -s --no-viewer --utf8 input positional arguments: input Input file path options:...

Evtx_Log_Browser

Evtx 로그xml 브라우저 Windows evtx 이벤트 로그를 탐색하고 xml로 내보냅니다 최신 버전은여기에서 확인하세요 종속성: .NET Framework 4.8 Powershell 버전: 5.1...

EnableWindowsLogSettings

Yamato Security의 DFIR 및 위협 헌팅을 위한 Windows 이벤트 로그 구성 가이드 English | 日本語 이 문서는 sigma 규칙에 대한 로깅을 중점으로 Windows 이벤트 로그를 올바르게 구성하고 모니터링하는 또 다른 가이드입니다. 이 문서는 작성 중이므로 정기적으로 다시 확인해 주시기 바랍니다. TLDR 기본 Windows 감사 설정에서는 sigma 탐지 규칙의 약 1020%만 사용할 수 있습니다. Windows 로그가 활성화되어 있어도 기본적으로 로그 최대 크기는 120MB이므로 증거가 빠르게 덮어...

PrintNightmare

TryHackMe | PrintNightmare PrintNightmare Learn about the vulnerability known as PrintNightmare CVE-2021-1675 and CVE-2021-34527 작업 6 탐지: Windows 이벤트 로그 Event Viewer Applications and Services Logs Microsoft Windows PrintService Admin...

Phant0m

Phant0m | Windows 이벤트 로그 킬러 Svchost는 소위 공유 서비스 프로세스 구현에 필수적입니다. 여러 서비스가 리소스 소비를 줄이기 위해 하나의 프로세스를 공유할 수 있습니다. 여러 서비스를 단일 프로세스로 그룹화하면 컴퓨팅 리소스가 절약되며, 이는 Windows 프로세스를 생성하는 데 다른 운영 체제예: Unix 계열보다 더 많은 시간이 걸리고 더 많은 메모리를 소비하기 때문에 NT 설계자에게 특히 중요한 고려 사항이었습니다.1 즉, 간단히 말해서 Windows 운영 체제에서 svchost.exe는 서비스를...

RDP-Guard

RDP Guard RDP Guard는 Windows 보안 로그에서 실패한 RDP 로그인 시도를 모니터링하고, 악성 원격 IP 주소를 Windows 방화벽을 통해 차단합니다. 기본값 이벤트 ID: 4625 로그온 유형: 3 또는 10 임계값: 3회 이상의 감사 실패 확인 간격: 15분 방화벽 규칙 이름: RDPGUARDyyyyMMddHHmmssfff 확인 중 차단할 IP가 발견되면 모든 IP가 단일 인바운드 방화벽 규칙에 remoteip 범위로 기록됩니다. IP가 이미 활성화된 광범위한 인바운드 차단 규칙에 포함되어 있으면 새...