análisis-de-artefactos-de-powershell-empire

Análisis de Artefactos de PowerShell Empire

Resumen

PowerShell Empire es un framework de post-explotación que consta de listeners, stagers y agentes. Sus artefactos dejan trazas detectables en los registros de eventos de Windows, particularmente en el registro de bloque de scripts de PowerShell (ID de evento 4104) y el registro de módulos (ID de evento 4103). Esta habilidad analiza registros de eventos en busca de la cadena de lanzador predeterminada de Empire (powershell -noP -sta -w 1 -enc), payloads codificados en Base64 que contienen System.Net.WebClient y FromBase64String, invocaciones de módulos conocidos (Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation) y patrones de URL de staging.

Cuándo Usar

• Al investigar incidentes de seguridad que requieran analizar artefactos de PowerShell Empire
• Al construir reglas de detección o consultas de caza de amenazas para este dominio
• Cuando analistas de SOC necesiten procedimientos estructurados para este tipo de análisis
• Al validar la cobertura de monitoreo de seguridad para técnicas de ataque relacionadas

Requisitos Previos

• Python 3.9+ con acceso al Registro de Eventos de Windows o archivos EVTX exportados
• Registro de bloque de scripts de PowerShell (ID de evento 4104) habilitado mediante Política de Grupo
• Registro de módulos (ID de evento 4103) habilitado para una cobertura integral

Patrones Clave de Detección

1. Lanzador predeterminado — powershell -noP -sta -w 1 -enc seguido de un bloque Base64
2. Indicadores de stager — System.Net.WebClient, DownloadData, DownloadString, FromBase64String
3. Firmas de módulos — Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation, Invoke-PSInject, Invoke-DCOM
4. Cadenas de agente de usuario — agentes de usuario predeterminados de Empire en la configuración del listener HTTP
5. URLs de staging — /login/process.php, /admin/get.php y patrones de URI predeterminados similares

Salida

Informe JSON con IOCs coincidentes, payloads Base64 decodificados, línea de tiempo de eventos sospechosos, asignaciones a técnicas MITRE ATT&CK y puntuaciones de severidad.