Análise de Artefatos com Ferramentas de Eric Zimmerman

Uso Autorizado Apenas: Estas ferramentas analisam evidências adquiridas de sistemas. Analise apenas dados que você está autorizado a manusear, mantenha a cadeia de custódia e trabalhe a partir de cópias forenses em vez de originais.

Visão Geral

As Ferramentas de Eric Zimmerman (Ferramentas EZ) são um conjunto gratuito e de código aberto de analisadores forenses de alta fidelidade para Windows, cada um focado em uma classe específica de artefato e cada um produzindo saída CSV/JSON pronta para o analista. Elas são o padrão de fato para análise de artefatos do Windows e são o que o módulo !EZParser do KAPE invoca internamente. As principais ferramentas incluem:

• MFTECmd — analisa $MFT, $J ($UsnJrnl), $Boot, $SDS e $LogFile de volumes NTFS.
• PECmd — analisa o Prefetch do Windows (.pf) para evidências de execução de programas.
• RECmd — analisador/buscador de colmeias de registro (registry hive) controlado por plugins em lote (arquivos em lote RECmd).
• SBECmd — analisa ShellBags (histórico de acesso a pastas) de UsrClass.dat/NTUSER.DAT.
• AmcacheParser — analisa Amcache.hve para execução de aplicativos e metadados.
• AppCompatCacheParser — analisa ShimCache (AppCompatCache) da colmeia SYSTEM.
• LECmd — analisa arquivos de atalho LNK. JLECmd — analisa Jump Lists. EvtxECmd — analisa logs de eventos EVTX para um esquema normalizado.

A saída é projetada para ser carregada no Timeline Explorer (também de Eric Zimmerman), um visualizador rápido de CSV/Excel construído especificamente para filtrar, marcar e pivotar entre CSVs forenses. As versões 2025+ rodam em .NET e também funcionam nativamente no Linux.

Quando Usar

• Após a coleta de triagem (por exemplo, com KAPE) quando você precisar analisar artefatos brutos em evidências estruturadas e pesquisáveis.
• Para estabelecer a execução de programas, acesso a arquivos/pastas e persistência durante a resposta a incidentes.
• Para construir CSVs específicos de artefatos que alimentam linhas do tempo, Timesketch ou ingestão de SIEM.

Pré-requisitos

• Baixe as Ferramentas EZ através do downloader oficial (mantém as ferramentas atualizadas):

  # Download/update all .NET 6 tools into C:\Tools\EZ
  .\Get-ZimmermanTools.ps1 -Dest C:\Tools\EZ
  

  Fonte: https://ericzimmerman.github.io/ e https://github.com/EricZimmerman/Get-ZimmermanTools
• Runtime .NET (incluído nas versões atuais).
• Cópias forenses dos artefatos (imagem montada, coleta KAPE ou colmeias extraídas).

Objetivos

• Analisar o MFT, prefetch, shellbags, registro e amcache de uma coleção.
• Produzir CSV/JSON normalizado por artefato.
• Carregar resultados no Timeline Explorer para análise.
• Estabelecer evidências de execução e acesso que suportem a investigação.

Mapeamento MITRE ATT&CK

Estes são analisadores defensivos; o mapeamento reflete o artefato (registro) mais relevante para o comportamento do adversário que eles ajudam a descobrir.

Fluxo de Trabalho

1. Baixar/atualizar as ferramentas

Mantenha os analisadores atualizados para que eles lidem com os formatos de artefatos mais recentes.

.\Get-ZimmermanTools.ps1 -Dest C:\Tools\EZ

2. Analisar o MFT para atividade do sistema de arquivos

-f aponta para um único $MFT; --csv define o diretório de saída e --csvf o nome do arquivo. Adicione --csvf para $J/UsnJrnl com -f $J.

MFTECmd.exe -f "E:\collection\C\$MFT" --csv "E:\out\mft" --csvf MFT.csv

REM Parse the USN Journal change log
MFTECmd.exe -f "E:\collection\C\$Extend\$J" --csv "E:\out\mft" --csvf UsnJrnl.csv

3. Analisar Prefetch para evidências de execução

-d percorre recursivamente um diretório de arquivos .pf. Saída CSV + JSON.

PECmd.exe -d "E:\collection\C\Windows\Prefetch" --csv "E:\out\prefetch" --csvf Prefetch.csv --json "E:\out\prefetch\json"

4. Analisar ShellBags para histórico de acesso a pastas

-d aponta para o diretório contendo os UsrClass.dat/NTUSER.DAT do usuário (ou -f uma única colmeia).

SBECmd.exe -d "E:\collection\C\Users\jsmith" --csv "E:\out\shellbags"

5. Analisar o registro com plugins em lote RECmd

RECmd é controlado por arquivos em lote (--bn) que agrupam plugins; o arquivo Kroll_Batch é abrangente. -d percorre recursivamente um diretório de colmeias.

RECmd.exe -d "E:\collection\C\Windows\System32\config" --bn "C:\Tools\EZ\RECmd\BatchExamples\Kroll_Batch.reb" --csv "E:\out\registry" --csvf Registry.csv

REM Procurar um valor/chave em uma única colmeia

…