Caçando EVTX com Chainsaw

Visão Geral

Chainsaw é uma ferramenta forense rápida, baseada em Rust, para busca e caça de artefatos, da WithSecure Labs. Ela fornece capacidade de primeira resposta para identificar rapidamente ameaças em Logs de Eventos do Windows (.evtx) e outros artefatos. Chainsaw pode caçar com o corpus completo de regras do SigmaHQ (traduzindo Sigma para seu motor interno Tau), executar suas próprias regras de detecção embutidas, realizar buscas de alta velocidade por palavras-chave/regex em logs e analisar artefatos especializados como o AppCompatCache (shimcache), banco de dados SRUM e lacunas de logs de eventos. A saída pode ser uma tabela colorida, CSV ou JSON para ferramentas downstream.

A força do Chainsaw é a velocidade e flexibilidade durante a triagem inicial: um analista pode jogar uma pasta de EVTX coletados na ferramenta e obter um conjunto priorizado de detecções em segundos, depois pivotar com consultas direcionadas de search para confirmar uma hipótese. Diferente de um SIEM, ele não precisa de um pipeline de ingestão, roda como um único binário e funciona totalmente offline contra evidências adquiridas — ideal para o campo ou uma VM de análise com air-gap. O arquivo --mapping informa ao Chainsaw como os campos Sigma se traduzem para os campos de eventos do Windows, o que permite uma ampla cobertura Sigma sobre EVTX.

Um resultado comum de caça é a detecção de PowerShell suspeito — MITRE ATT&CK T1059.001 (Command and Scripting Interpreter: PowerShell) — executando regras Sigma contra logs operacionais do PowerShell (ID de Evento 4104, logging de script-block) ou buscando por padrões de comando codificados. Essa habilidade se mapeia para o NIST CSF DE.AE-02 (eventos potencialmente adversos são analisados para entender melhor as atividades associadas).

Quando Usar

• Durante a triagem de primeira resposta para caçar rapidamente ameaças em logs de eventos do Windows coletados.
• Quando você precisa de detecção offline baseada em Sigma sobre .evtx sem configurar um SIEM.
• Para executar buscas rápidas por palavras-chave/regex confirmando ou refutando uma hipótese de caça.
• Para analisar shimcache, SRUM ou lacunas de tempo em logs de eventos em busca de evidências de execução e adulteração.
• Para produzir saída de detecção em CSV/JSON para relatórios ou ingestão em pipeline.

Pré-requisitos

• Binário do Chainsaw. Baixe uma release do GitHub ou compile a partir do código fonte:

  # Build from source (Rust toolchain required)
  git clone https://github.com/WithSecureLabs/chainsaw.git
  cd chainsaw && cargo build --release
  ./target/release/chainsaw --version
  # or: nix profile install github:WithSecureLabs/chainsaw
  

• O repositório do Chainsaw envia mappings/ (mapeamentos de campos Sigma) e rules/ (regras do Chainsaw).
• Uma cópia das regras do SigmaHQ para cobertura Sigma completa:

  git clone https://github.com/SigmaHQ/sigma.git
  

• Arquivos de .evtx do Windows coletados (e hives de registro como SYSTEM/Amcache.hve para análise de shimcache).

Objetivos

• Caçar EVTX coletados com regras Sigma usando o arquivo de mapeamento correto.
• Filtrar detecções por nível de regra, status e tipo para reduzir ruído.
• Buscar logs por palavra-chave, regex e expressão Tau para confirmação direcionada.
• Exportar detecções como tabela, CSV e JSON.
• Analisar shimcache (com pareamento de timestamp Amcache), SRUM e lacunas de logs de eventos.

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

1. Caçar EVTX com regras Sigma

Execute o corpus SigmaHQ contra logs coletados usando o arquivo de mapeamento incluído. O mapeamento traduz campos Sigma para campos EVTX.

chainsaw hunt ./collected_evtx \
  -s ./sigma/rules \
  --mapping ./mappings/sigma-event-logs-all.yml

2. Caçar com regras embutidas do Chainsaw mais Sigma

Combine as próprias regras do Chainsaw (-r) com Sigma (-s) para uma cobertura mais ampla.

chainsaw hunt ./collected_evtx \
  -r ./rules \
  -s ./sigma/rules \
  --mapping ./mappings/sigma-event-logs-all.yml

…