分析 PowerShell Empire 后利用框架痕迹 是做什么的？
概述
PowerShell Empire 是一个后利用框架，由监听器、存根和代理组成。其痕迹会在 Windows 事件日志中留下可检测的特征，特别是 PowerShell 脚本块日志 (事件 ID 4104) 和模块日志 (事件 ID 4103)。该技能分析事件日志中 Empire 的默认启动器字符串 (powershell -noP -sta -w 1 -enc)、包含 System.Net.WebClient 和 FromBase64String 的 Base64 编码载荷、已知的模块调用 (Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation) 以及暂存 URL 模式。
使用时机
- 在调查需要分析 PowerShell Empire 后利用框架痕迹的安全事件时
- 在为此领域构建检测规则或威胁狩猎查询时
- 当 SOC 分析师需要针对此分析类型的结构化流程时
- 在验证相关攻击技术的安全监控覆盖率时
先决条件
- Python 3.9+，能够访问 Windows 事件日志或导出的 EVTX 文件
- 通过组策略启用的 PowerShell 脚本块日志 (事件 ID 4104)
- 启用模块日志 (事件 ID 4103) 以获得全面覆盖
关键检测模式
- 默认启动器 —
powershell -noP -sta -w 1 -enc后跟 Base64 数据块 - 存根指示器 —
System.Net.WebClient、DownloadData、DownloadString、FromBase64String - 模块签名 — Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation、Invoke-PSInject、Invoke-DCOM
- 用户代理字符串 — HTTP 监听器配置中的默认 Empire 用户代理
- 暂存 URL —
/login/process.php、/admin/get.php等默认 URI 模式
输出
包含匹配的 IOC、解码的 Base64 载荷、可疑事件时间线、MITRE ATT&CK 技术映射以及严重性评分的 JSON 报告。