PyrsistenceSniper es una herramienta avanzada diseñada para detectar la persistencia offline, permitiendo a los analistas de ciberseguridad identificar 117 mecanismos de persistencia distintos en plataformas Windows, Linux y macOS. Desarrollada por Hexastrike y basada en Python, esta solución permite realizar un triaje rápido de colecciones forenses sin necesidad de acceder al sistema en vivo.

PyrsistenceSniper es una herramienta avanzada para la detección de persistencia offline, que permite a los analistas de ciberseguridad identificar 117 mecanismos de persistencia distintos en plataformas Windows, Linux y macOS.

Inspirada originalmente en Autoruns y PersistenceSniper, esta solución basada en Python desarrollada por Hexastrike permite realizar un triaje rápido de colecciones forenses sin necesidad de acceder al sistema en vivo.

Según el repositorio de GitHub de Hexastrike, PyrsistenceSniper se ejecuta directamente sobre imágenes de disco montadas, colecciones de Velociraptor y volcados de KAPE. La herramienta utiliza la librería libregf para analizar colmenas de registro de forma nativa, lo que le permite completar escaneos exhaustivos de sistemas muy utilizados en menos de treinta segundos.

Los analistas de Hexastrike explican que puedes aprovechar el filtrado basado en firmas para validar las firmas de Authenticode y separar la persistencia maliciosa real del "ruido" predeterminado del sistema operativo.

PyrsistenceSniper Detecta 117 Técnicas de Persistencia

La interfaz de línea de comandos proporciona una salida detallada en la terminal que marca visualmente las anomalías basadas en las técnicas reconocidas de MITRE ATT&CK.

Los investigadores de seguridad informan que PyrsistenceSniper admite el escaneo de artefactos independientes para archivos aislados como NTUSER.DAT o la colmena SYSTEM, lo cual es particularmente útil cuando no tienes disponibles las estructuras completas de directorios.

Maurice Fielenbach señala que cada hallazgo se enriquece automáticamente con comprobaciones de existencia de archivos, hashes SHA-256 y clasificaciones de LOLBin conocidas para agilizar tu proceso de respuesta ante incidentes.

Como profesional de la ciberseguridad, puedes desplegar perfiles de detección basados en YAML para personalizar las reglas de permiso y bloqueo, ya sea de forma global o por comprobación individual.

La documentación de Hexastrike explica que este sistema prioriza las reglas de bloqueo, categorizando automáticamente las coincidencias como de alta severidad, mientras filtra entidades conocidas como seguras, como los binarios firmados por Microsoft.

Los cazadores de amenazas enfatizan que este mecanismo de supresión selectiva elimina las alertas redundantes, reduciendo a menudo el volumen total de salida hasta en un noventa por ciento durante el análisis forense.

Hexastrike alineó las comprobaciones de persistencia únicas de la herramienta directamente con nueve técnicas distintas de MITRE ATT&CK para garantizar informes de amenazas estandarizados.

Los equipos de seguridad utilizan estas categorizaciones para rastrear mecanismos que van desde flujos de ejecución secuestrados hasta procesos de autenticación modificados en entornos comprometidos. La siguiente tabla ilustra una sección de las técnicas de persistencia específicas identificadas por PyrsistenceSniper.

Los investigadores forenses pueden exportar los hallazgos de PyrsistenceSniper en varios formatos, incluidos consola, CSV, HTML y XLSX, para integrarlos perfectamente en tus flujos de trabajo de análisis existentes.

Actualizaciones recientes, destacadas por Maurice Fielenbach, introdujeron informes HTML interactivos que te permiten filtrar y ordenar dinámicamente las calificaciones de severidad.

Los equipos de respuesta a incidentes utilizan frecuentemente las salidas CSV y XLSX para apilar indicadores anómalos en múltiples sistemas comprometidos simultáneamente.

Si eres ingeniero de seguridad, puedes instalar PyrsistenceSniper directamente desde el Python Package Index utilizando gestores de paquetes estándar o compilándolo desde el código fuente oficial.

El equipo de desarrollo también proporciona un contenedor Docker oficial, que te permite escanear colecciones de triaje sin configurar entornos locales de Python o dependencias del sistema. Los profesionales de la informática forense utilizan frecuentemente este enfoque contenedorizado para exportar informes HTML completos y archivos CSV dinámicamente durante intervenciones activas de respuesta a incidentes.