Sigcheck - Sysinternals | Microsoft Learn

Aqui está um resumo em português do artigo sobre o Sigcheck v2.90 (por Mark Russinovich):

Visão geral

Sigcheck é um utilitário de linha de comando da Sysinternals que exibe versão de arquivos, carimbos de data/hora e detalhes de assinatura digital (incluindo cadeias de certificados).
Inclui integração com VirusTotal para consultar detecções por hash e opção para enviar arquivos ao serviço.
Download: https://download.sysinternals.com/files/Sigcheck.zip

Principais usos e funcionalidades

Exibir informações de versão e carimbos de data/hora de arquivos.
Mostrar detalhes de assinatura digital e a cadeia de certificados (incluindo pesquisa em catálogos).
Mostrar hashes de arquivos e despejar manifestos ou conteúdo de catálogos.
Verificar arquivos recursivamente e seguir links simbólicos/junções.
Consultar o VirusTotal para detecções por hash e opcionalmente enviar arquivos não verificados.
Permite desativar verificação de revogação, aceitar EULA silenciosamente e gerar saída CSV (vírgula ou tab).

Opções importantes (seleção)

-a: informações de versão estendida (inclui entropia).
-h: mostrar hashes de arquivo.
-i: mostrar nome do catálogo e cadeia de assinatura.
-s: recursão em subdiretórios.
-e: verificar somente imagens executáveis.
-u: com VirusTotal habilitado, mostrar arquivos desconhecidos/ com detecção ≠ 0; senão, mostra apenas não assinados.
-v[rs]: consultar VirusTotal; r abre relatórios com detecção ≠ 0; s envia arquivos não verificados.
-r: desativar verificação de revogação de certificado.
-c / -ct: saída em CSV (vírgula / tab).

Exemplos

Sintaxe geral: sigcheck [opções] <arquivo ou diretório>
Verificar arquivos não assinados em System32: sigcheck -u -e c:\windows\system32

Requisitos de execução

Mais informações e recursos

Apresentação sobre uso das ferramentas Sysinternals para busca de malware (Mark Russinovich): https://channel9.msdn.com/events/teched/northamerica/2013/atc-b308#fbid=mb6_bvqq9jj
Treinamento relacionado: https://learn.microsoft.com/pt-br/training/modules/explore-advanced-protection-methods/?source=recommendations
Certificação relacionada: https://learn.microsoft.com/pt-br/credentials/certifications/security-operations-analyst/?source=recommendations

Observações finais

Para usar recursos do VirusTotal com Sigcheck, é necessário aceitar os termos de serviço do VirusTotal (link incluído na documentação); caso contrário, será solicitado interativamente.
Recomenda-se investigar todos os arquivos não assinados encontrados em diretórios críticos (por exemplo, \Windows\System32).