Caçando Execuções Anômalas de PowerShell

Visão Geral

O Registro de Blocos de Script do PowerShell (ID de Evento 4104) registra o texto completo do script desofuscado executado em um endpoint Windows, tornando-o a principal fonte de dados para caçar atividades maliciosas em PowerShell. Combinado com o Registro de Módulos (4103) e eventos de criação de processos, os analistas podem detectar comandos codificados, padrões de bypass de AMSI, "download cradles" (scripts para download), ferramentas de roubo de credenciais e técnicas de ataque "fileless" (sem arquivos), mesmo quando o atacante usa camadas de ofuscação.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por execuções anômalas de PowerShell.
• Ao construir regras de detecção ou consultas de threat hunting para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Exportações de Logs de Eventos do Windows (.evtx) de Microsoft-Windows-PowerShell/Operational.
• Python 3.8+ com as bibliotecas python-evtx e lxml.
• Registro de Blocos de Script habilitado via Política de Grupo (Group Policy).
• Compreensão de técnicas comuns de ataque em PowerShell.

Passos

1. Analisar arquivos EVTX extraindo o texto e metadados do bloco de script do Evento 4104.
2. Reconstruir blocos de script de múltiplas partes usando a correlação do ID do ScriptBlock.
3. Escanear o texto do script em busca de indicadores de bypass de AMSI e padrões de ofuscação.
4. Detectar a execução de comandos codificados e payloads Base64.
5. Identificar "download cradles", comandos de "credential dumping" (extração de credenciais) e de movimento lateral.
6. Pontuar e priorizar descobertas por gravidade da ameaça.

Saída Esperada

{
  "total_events": 1247,
  "suspicious_events": 23,
  "amsi_bypass_attempts": 2,
  "encoded_commands": 8,
  "download_cradles": 5,
  "credential_access": 3
}