도구 카탈로그
SS에서 자주 쓰는 도구를 기능별로 정리한다. 전체 도구 목록은 kac.best/tools에서 관리한다. 도구의 존재는 사용 지시가 아니다. 각 도구는 해당 카드·절차가 요구할 때만 쓴다.
주요 도구
아티팩트 파서
실행·파일시스템 아티팩트를 기계가 읽을 수 있는 표로 바꾸는 도구다. 파서 출력은 원시 아티팩트의 해석본이므로, 이상 행은 원본 위치와 함께 캡처한다.
| 도구 | 용도 | 비고 |
|---|---|---|
| BAM-parser | BAM 엔트리 파싱, 디지털 서명, YARA | SID별 경로 변환, 삭제 표기 |
| prefetch-parser | Prefetch .pf 파싱, 서명 분석 | |
| JournalTrace | NTFS USN 저널 파싱, 파일 변경 추적 | |
| AmcacheParser | Amcache.hve 파싱, 서명·YARA | ImGui UI, 컬럼 필터링 |
| PrefetchView | Prefetch 파싱, 경로 변환 | ImGui UI |
| BAMReveal | BAM 파싱 (Orbdiff 계열) | |
| ActivitiesCache-execution | ActivitiesCache.db 실행 기록 추출 | Windows 11은 Timeline을 폐지했다. DB가 비어 있거나 오래된 기록만 있어도 삭제 흔적으로 읽지 않는다 |
| JARParser | JAR 실행 전용 Prefetch 파싱, DcomLaunch | 삭제·이름변경 .pf 플래그 |
| MFTParser | $MFT 직접 파싱, 타임스탬프·ADS·삭제 엔트리 | Timeline Explorer 호환 CSV |
| UserAssistView | UserAssist 실행 기록, 서명·USN 교체 | Orbdiff 계열 |
| USBDetector | USB 장치 연결 이력 | cfgmgr32·SetupAPI·DeviceHunt |
| PFTrace | rundll32·regsvr32 Prefetch 임포트, 삭제 .pf | 간접 실행 우회 추적 |
| CheckDeletedUSN | USN 저널 삭제·재생성 판정 | $J 생성 시각 vs 부팅 시각 |
| EZTools | MFTECmd·PECmd·EvtxECmd·SBECmd·LECmd·RECmd 등 | Eric Zimmerman, CSV 출력 |
| Timeline Explorer | CSV/Excel 타임라인 뷰어 | 파서·스캐너 출력의 표준 뷰어 |
프로세스·메모리
실행 중인 코드와 메모리 영역을 들여다보는 도구다. "프로세스 목록에 없는 코드가 메모리에 있다"는 종류의 불일치를 잡는 데 쓴다.
| 도구 | 용도 | 비고 |
|---|---|---|
| process-parser | 프로세스 문자열 추출, 서명·YARA | |
| DPS-Analyzer | DPS 서비스 메모리 문자열 스캔 | 다단계 필터링 |
| InjGen | JNI/JVMTI 인젝션 탐지 | Minecraft 고스트 클라이언트용 |
| System Informer | 프로세스·모듈·핸들·스레드·메모리 검사 | 구 Process Hacker |
| Process Explorer | DLL·핸들·부모 관계 검사 | Sysinternals |
| pe-sieve / hollows_hunter | 교체된 PE·리플렉티브 DLL·셸코드·훅 탐지 | 단서 생성기, 단독 판정 아님 |
| WinPmem | 물리 메모리 RAW 덤프 | Volatility 3로 분석 |
| Volatility 3 | 메모리 덤프 분석 (malfind·hollowprocesses) | 조건부 축, PROC 강신호 시 |
| StringScanner | 전 프로세스 메모리 문자열 검색 | 제작자 저장소 삭제됨 |
스캐너
Ring3 초기 히트 수집용. 스캐너 출력은 리드(재검증이 필요한 단서, 용어집)이지 판정이 아니다.
| 도구 | 용도 | 비고 |
|---|---|---|
| Ocean Anti-Cheat | SS 포렌식 스캐너, ~60초 | MC Java/Bedrock/FiveM/Rust 등 10+ 게임 |
| Detect | PC 포렌식 스캐너, 132개 플래그 | PowerShell 우회·DMA/퓨저 탐지, 유료 |
| Echo | SS 스캐너, 시간순 File Log·HWID 마킹 | MC·FiveM·Rust·Roblox, 유료 |
| Paladin | 엔터프라이즈 SS/안티치트, REST API | 대형 네트워크용, 유료 |
| Siles | PIN 기반 포렌식 스캔, 반포렌식 플래그 | FiveM·MC·Rust, 유료 |
| Abyss | MC 특화 스캐너, 49개 모듈 | javaagent·클릭 분산 분석, 유료·신생 |
| Audit AC | 포렌식 모드 스캐너 | JNativeHook·JVM 인젝션, 유료 |
| Pulse SSTool | 무료 SS 툴 | 오프라인 탐지, 비공개 |
시스템 도구 (Windows 내장 / Sysinternals / 파일 검색)
대상 머신에 새 도구를 설치하지 않고도 쓸 수 있는 1차 수단이다.
| 도구 | 용도 | 비고 |
|---|---|---|
| Autoruns | 서비스·드라이버·시작 프로그램 목록 | Sysinternals |
| Sigcheck | 파일 서명 검증, 해시 추출 | Sysinternals |
| TCPView | 활성 네트워크 연결 | Sysinternals |
| Everything | NTFS USN 기반 즉시 파일 검색 | 제외 목록·everything.db 잔재 확인 |
| driverquery | 로드된 드라이버 목록 (/v, /si, /fo csv) | Windows 내장 |
| fltmc | 미니필터 드라이버 목록 | Windows 내장 |
| pnputil | 장치·드라이버 스토어 열거 (/enum-devices는 Win10 1903+) | Windows 내장 |
| Event Viewer | 이벤트 로그 조회 (1102, 7045, CI 등) | Windows 내장 |
| msinfo32 | 시스템 정보 (HVCI, DMA Protection 등) | Windows 내장 |
Minecraft 특화
JAR·모드·에이전트 경로를 다루는 게임 특화 도구다.
| 도구 | 용도 | 비고 |
|---|---|---|
| Jarabel | JAR 난독화 탐지, 메모리·레지스트리 검사 | Maven/Gradle/Forge/Fabric 구분 |
| ValorModAnalyzer | 모드 바이트코드 분석, 인젝션 탐지 | PowerShell 기반 |
| PowershellScripts | 모드 해시 검증 (Modrinth API) | Zone.Identifier 출처 확인 |
| RedLotus Mod Analyzer | 모드 치트 흔적 탐지 | 800+ 시그니처 |
| modschecker | 모드 해시 감사 | Modrinth + CurseForge 양쪽 조회 |
| IHP | JAR 안티바이러스 스캐너, 디컴파일러 내장 | URL·웹훅·C2 지표 추출, JAR 비교 |
| JarAnalyzer | 전 드라이브 JAR 탐색 (MFT 직접 읽기) | 라이브 classpath 분석 |
| MinecraftCheatDetector | 런처 인식 포렌식 스캔 | Lunar·Badlion·Feather 등 15+ 런처 |
| MeowDoomsdayFucker | Doomsday 클라이언트 전용 탐지 | javaw RAM 패턴 + Prefetch |
| MeowResolver | 우회·안티포렌식 조작 탐지·제거 | 레지스트리·이벤트 로그·GPO |
| Shard | PojavLauncher(Android) SS 검사 | 저장소 아카이브됨 |
| SSTool (Linux) | Linux용 SS 점검 | 인젝션 클라이언트·JavaAgent·VM |
이벤트 로그·레지스트리·기타
| 도구 | 용도 | 비고 |
|---|---|---|
| Hayabusa | .evtx에 Sigma 4,000+ 룰 적용, 타임라인 CSV | 로그 삭제(1102)·PS 4103/4104 표준 |
| EvtxECmd | 이벤트 로그 → CSV | EZTools |
| Fileless | PowerShell 이벤트 + WinPmem 메모리 덤프 | 로그 삭제 시 제한 |
| pcasvc-executed | PCA 서비스 실행 기록 분석 | |
| Registry Explorer | 라이브·오프라인 하이브, 삭제 값 복원 | 지워진 BAM·RunMRU 복원 |
| Registry Finder | 전체 레지스트리 고속 검색 | MRU 키 즉시 조회 |
| NirSoft 뷰어 | USBDeview·LastActivityView·WinPrefetchView 등 | 일부 PUA 오탐 주의 |
| FTK Imager | RAM 캡처, FAT32 삭제 파일·file slack | USN 없는 볼륨 추적 |
올인원 툴킷·연동
| 도구 | 용도 | 비고 |
|---|---|---|
| SSTool | PrefetchView·Fileless·BAMReveal 등 일괄 다운로드 | Orbdiff 계열 |
| Detect.ac Free Tools | ++ 시리즈 무료 파서 모음 | USN 변조 플래그·YARA 연계 |
| Screenshare-Collector | 30여 종 자동 배포 + 우회 검사 CSV | Bypass_generics 출력 |
| RedLotus Tool Downloader | 승인 도구 프리셋 다운로드 | Quick SS·Full SS |
| espouken | BAM·알트·메모리 올인원 | spokwn, 비공개 소스 |
| WinTriage | 핵심 아티팩트 자동 트리아지 | 조작·삭제·재설치 플래그 |
| Devyl | 안티포렌식·매크로·계정 스캔, HTML 리포트 | Discord 웹훅 |
| Schwarzahn SS Kit | PowerShell 절차 킷 + GUI 허브 | Windows·Linux 버전 |
| Ocean-Freeze | Ocean API 연동 Spigot 플러그인 | 프리즈·PIN·자동 밴 |
죽은 도구의 표기. 저장소가 사라지거나 유지가 끊긴 도구는 카탈로그에서 제거한다. 과거 PSHunter·AltDetector(제작자 계정 삭제)는 제거됐고, Checking-Tool은 RedLotus Tool Downloader·Screenshare-Collector로 대체됐다. 문서 안에서 죽은 도구를 언급해야 할 때는 취소선으로 표시하고 수동 절차를 함께 적는다.
Sources
- Autoruns
- Sysmon
- Process Explorer
- ProcMon
- System Informer
- Hayabusa
- Eric Zimmerman EZTools
- Everything
- PnPUtil 명령 구문
- MS Windows 클라이언트 사용 중단 기능(Windows 11의 Timeline 폐지)