分析 PowerShell Empire 入侵痕跡

分析 PowerShell Empire 入侵痕跡 是做什麼的？

概觀

PowerShell Empire 是一個由監聽器、傳送器和代理程式組成的後滲透框架。其入侵痕跡會在 Windows 事件記錄中留下可偵測的蹤跡，特別是 PowerShell 指令碼區塊記錄 (事件識別碼 4104) 和模組記錄 (事件識別碼 4103)。此技能分析事件記錄中的 Empire 預設啟動器字串 (powershell -noP -sta -w 1 -enc)、包含 System.Net.WebClient 和 FromBase64String 的 Base64 編碼酬載、已知模組呼叫 (Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation) 以及中繼 URL 模式。

使用時機

• 調查需要分析 PowerShell Empire 入侵痕跡的資安事件時
• 為此領域建立偵測規則或威脅狩獵查詢時
• SOC 分析師需要此分析類型的結構化程序時
• 驗證相關攻擊技術的資安監控覆蓋範圍時

先決條件

• Python 3.9+，並能存取 Windows 事件記錄或匯出的 EVTX 檔案
• 透過群組原則啟用 PowerShell 指令碼區塊記錄 (事件識別碼 4104)
• 啟用模組記錄 (事件識別碼 4103) 以獲得全面覆蓋

關鍵偵測模式

1. 預設啟動器 — powershell -noP -sta -w 1 -enc 後接 Base64 blob
2. 傳送器指標 — System.Net.WebClient、DownloadData、DownloadString、FromBase64String
3. 模組特徵 — Invoke-Mimikatz、Invoke-Kerberoast、Invoke-TokenManipulation、Invoke-PSInject、Invoke-DCOM
4. 使用者代理字串 — HTTP 監聽器設定中的預設 Empire 使用者代理
5. 中繼 URL — /login/process.php、/admin/get.php 等預設 URI 模式

輸出

JSON 格式報告，包含比對到的入侵指標 (IOC)、解碼後的 Base64 酬載、可疑事件時間線、MITRE ATT&CK 技術映射以及風險評分。