analisando-artefatos-do-powershell-empire

Analisando Artefatos do PowerShell Empire

Visão Geral

PowerShell Empire é um framework de pós-exploração que consiste em listeners, stagers e agentes. Seus artefatos deixam vestígios detectáveis nos logs de eventos do Windows, particularmente no PowerShell Script Block Logging (ID do Evento 4104) e Module Logging (ID do Evento 4103). Esta habilidade analisa logs de eventos em busca da string de inicialização padrão do Empire (powershell -noP -sta -w 1 -enc), payloads codificados em Base64 contendo System.Net.WebClient e FromBase64String, invocações de módulos conhecidos (Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation) e padrões de URL de staging.

Quando Usar

• Ao investigar incidentes de segurança que exigem análise de artefatos do powershell empire
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Python 3.9+ com acesso ao Log de Eventos do Windows ou arquivos EVTX exportados
• PowerShell Script Block Logging (ID do Evento 4104) habilitado via Política de Grupo
• Module Logging (ID do Evento 4103) habilitado para cobertura abrangente

Principais Padrões de Detecção

1. Inicializador padrão — powershell -noP -sta -w 1 -enc seguido por blob Base64
2. Indicadores de stager — System.Net.WebClient, DownloadData, DownloadString, FromBase64String
3. Assinaturas de módulo — Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation, Invoke-PSInject, Invoke-DCOM
4. Strings de user-agent — user-agents padrão do Empire na configuração do listener HTTP
5. URLs de staging — /login/process.php, /admin/get.php e padrões de URI padrão semelhantes

Saída

Relatório JSON com IOCs correspondentes, payloads Base64 decodificados, linha do tempo de eventos suspeitos, mapeamentos de técnicas MITRE ATT&CK e pontuações de severidade.