Analisando Artefatos do PowerShell Empire

Visão Geral

PowerShell Empire é um framework de pós-exploração composto por listeners, stagers e agents. Seus artefatos deixam rastros detectáveis nos logs de eventos do Windows, particularmente no PowerShell Script Block Logging (ID de Evento 4104) e no Module Logging (ID de Evento 4103). Esta habilidade analisa logs de eventos para a string de launcher padrão do Empire (powershell -noP -sta -w 1 -enc), payloads codificados em Base64 contendo System.Net.WebClient e FromBase64String, invocações de módulos conhecidos (Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation) e padrões de URL de staging.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de artefatos do PowerShell Empire.
• Ao construir regras de detecção ou consultas de threat hunting para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9+ com acesso ao Windows Event Log ou arquivos EVTX exportados.
• PowerShell Script Block Logging (ID de Evento 4104) habilitado via Política de Grupo.
• Module Logging (ID de Evento 4103) habilitado para cobertura abrangente.

Padrões Chave de Detecção

1. Launcher padrão — powershell -noP -sta -w 1 -enc seguido por um blob Base64.
2. Indicadores de Stager — System.Net.WebClient, DownloadData, DownloadString, FromBase64String.
3. Assinaturas de Módulo — Invoke-Mimikatz, Invoke-Kerberoast, Invoke-TokenManipulation, Invoke-PSInject, Invoke-DCOM.
4. Strings de User Agent — user agents padrão do Empire na configuração do listener HTTP.
5. URLs de Staging — /login/process.php, /admin/get.php e padrões de URI padrão semelhantes.

Saída

Relatório JSON com IOCs correspondentes, payloads Base64 decodificados, linha do tempo de eventos suspeitos, mapeamentos de técnicas MITRE ATT&CK e pontuações de severidade.