analyse-artefacts-empire-powershell

Analyse des artefacts PowerShell Empire

Vue d'ensemble

PowerShell Empire est un framework post-exploitation composé de listeners, stagers et agents. Ses artefacts laissent des traces détectables dans les journaux d'événements Windows, en particulier dans le Script Block Logging PowerShell (ID événement 4104) et le Module Logging (ID événement 4103). Cette compétence analyse les journaux d'événements pour trouver la chaîne de lanceur par défaut d'Empire (powershell -noP -sta -w 1 -enc), les charges utiles encodées en Base64 contenant System.Net.WebClient et FromBase64String, les invocations de modules connus (Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation) ainsi que les motifs d'URL de staging.

Quand l'utiliser

• Lors d'investigations d'incidents de sécurité nécessitant l'analyse d'artefacts PowerShell Empire
• Lors de la création de règles de détection ou de requêtes de threat hunting pour ce domaine
• Lorsque les analystes SOC ont besoin de procédures structurées pour ce type d'analyse
• Lors de la validation de la couverture de surveillance de sécurité pour les techniques d'attaque associées

Prérequis

• Python 3.9+ avec accès au journal des événements Windows ou aux fichiers EVTX exportés
• Script Block Logging PowerShell (ID événement 4104) activé via la stratégie de groupe
• Module Logging (ID événement 4103) activé pour une couverture complète

Principaux motifs de détection

1. Lanceur par défaut — powershell -noP -sta -w 1 -enc suivi d'un blob Base64
2. Indicateurs de stager — System.Net.WebClient, DownloadData, DownloadString, FromBase64String
3. Signatures de module — Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation, Invoke-PSInject, Invoke-DCOM
4. Chaînes User-Agent — user agents par défaut d'Empire dans la configuration du listener HTTP
5. URL de staging — /login/process.php, /admin/get.php et autres motifs d'URI par défaut

Sortie

Rapport JSON contenant les IOCs identifiés, les charges utiles Base64 décodées, la chronologie des événements suspects, les correspondances avec les techniques MITRE ATT&CK et les scores de sévérité.