Autocheck之Loki

Simple IOC and YARA Scanner

1. 文件名IOC
   正则表达式匹配完整的文件路径/名称
2. Yara规则检查
   Yara签名匹配文件数据和进程内存
3. 哈希检查
   将已知的恶意哈希（MD5，SHA1，SHA256）与扫描的文件进行比较
4. C2连接后检查
   将进程连接端点与C2 IOC进行比较（版本v.10后新增）

需要文件
下loki最新发布版：https://api.github.com/repos/Neo23x0/Loki/releases/latest
下规则文件：https://github.com/Neo23x0/signature-base/archive/master.zip，下载解压后将yara、misc、iocs拷贝到\loki\signature-base\ 目录下或者挂代理跟新

常用参数
-l iocchk.txt 输出到iocchk.txt 文件
-s 10240 扫描小于10M的文件
排除 C:\Windows\WinSxS 目录

@echo off
cd /d "%~dp0"
loki.exe -s 10240 -l iocchk.txt --onlyrelevant
pause