hunting-for-anomalous-powershell-execution

用途：面向安全事件调查与威胁狩猎，分析 Windows 端点上的恶意 PowerShell 执行痕迹。

主要能力：以 PowerShell Script Block Logging（事件 4104）为核心数据源，记录脚本去混淆后的完整文本；结合 Module Logging（4103）和进程创建事件，识别编码命令、AMSI 绕过模式、下载 cradle、凭据窃取工具以及无文件攻击技术，即使攻击者使用多层混淆也可发现。

使用方式：

1. 解析 EVTX 文件，提取事件 4104 的脚本块文本与元数据；
2. 通过 ScriptBlock ID 关联并重组多段脚本块；
3. 扫描脚本文本中的 AMSI 绕过指标与混淆模式；
4. 检测编码命令执行与 base64 载荷；
5. 识别下载 cradle、凭据转储与横向移动命令；
6. 按威胁严重性对发现结果评分并排序。

前置条件：来自 Microsoft-Windows-PowerShell/Operational 的 Windows 事件日志导出（.evtx）；Python 3.8+ 及 python-evtx、lxml 库；已通过组策略启用 Script Block Logging；了解常见 PowerShell 攻击技术。

适用场景：安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析师结构化分析流程、验证相关攻击技术的安全监控覆盖。

预期输出示例：{"total_events": 1247, "suspicious_events": 23, "amsi_bypass_attempts": 2, "encoded_commands": 8, "download_cradles": 5, "credential_access": 3}。

限制：具体限制与详细安装命令在现有资料中暂未提供。