Yamato-Security/hayabusa v4.4.0

v4.4.0 - CODE BLUE Release

on GitHub

Released 2026/11/10.

New Features

• Added --e01 to all event-log scanning commands. Physical EWF1 (.E01) and EWF2 (.Ex01) images are read natively and read-only on Linux, macOS and Windows, without extraction, mounting or administrator privileges. Split images and mixed --vhdx --e01 directories are supported, image segments are protected from being overwritten by outputs, and incomplete acquisitions and read failures are reported while readable results are kept. (#1955) (@YamatoSecurity)
• Added --vhdx to all event-log scanning commands. Scan one image with -f, or find images up to three subdirectory levels deep with -d. Logs are read from all NTFS volumes on Linux, macOS and Windows without mounting drivers, administrator privileges or temporary extraction, and evidence paths keep the image and internal file name. If some input can't be read, readable results (including HTML reports and pivot files) are kept, the HTML report is marked incomplete, and Hayabusa exits nonzero. (@YamatoSecurity)

Enhancements

• pivot-keywords-list now writes four files with the bundled rules: Users, IP Addresses, Processes and Command Lines. Users and IP addresses, which were split across three files each, are combined, and the logon ID and Source Computers lists are removed. (Yamato-Security/hayabusa-rules#1115) (@YamatoSecurity)

Bug Fixes

• Fixed pivot-keywords-list finding no keywords with the current rules. Pivot fields are now resolved the same way as rule fields, so values that only appear in UserData are also collected, and empty values are no longer listed. (#1957) (@YamatoSecurity)

Other

• Updated 28 direct and transitive Rust dependencies to their latest versions compatible with Rust 1.99, including encoding_rs 0.8.44, openssl 0.10.82, pulldown-cmark 0.13.6, ureq 3.5.1 and uuid 1.29.2. Building from source now requires Rust 1.99 or newer. (@YamatoSecurity)

Contributors

• @YamatoSecurity

See CHANGELOG.md for full details.

日本語

2026/11/10 リリース。

新機能

• 全イベントログ解析コマンドに --e01 を追加しました。物理イメージのEWF1 (.E01) とEWF2 (.Ex01) を、Linux、macOS、Windowsでネイティブかつ読み取り専用で解析します。展開、マウント、管理者権限は不要です。分割イメージと --vhdx --e01 による混在ディレクトリに対応し、出力によるイメージセグメントの上書きを防止します。不完全な取得や読み取りエラーは報告し、読み取れた結果は保持します。 (#1955) (@YamatoSecurity)
• 全イベントログ解析コマンドに --vhdx を追加しました。-f で単一イメージ、-d で最大3階層下までのイメージを指定できます。Linux、macOS、Windowsで全NTFSボリュームのログを解析し、マウントドライバー、管理者権限、一時ファイルへの展開は不要です。出力には元イメージと内部ファイル名を保持します。一部の入力を読み取れない場合も、読み取れた結果（HTMLレポートとピボットファイルを含む）は保存し、HTMLレポートに不完全である旨を記載して、終了コードを非ゼロとします。 (@YamatoSecurity)

改善

• 同梱のルールで pivot-keywords-list が出力するファイルを Users、IP Addresses、Processes、Command Lines の4つにしました。それぞれ3つのファイルに分かれていたユーザーとIPアドレスをまとめ、ログオンIDと Source Computers の一覧は削除しました。 (Yamato-Security/hayabusa-rules#1115) (@YamatoSecurity)

バグ修正

• 最新のルールで pivot-keywords-list がキーワードを1つも出力しない問題を修正しました。ピボットのフィールドをルールのフィールドと同じ方法で解決するようにしたため、UserData にしかない値も収集されます。また、空の値は出力されなくなりました。 (#1957) (@YamatoSecurity)

その他

• Rust 1.99と互換性のある最新バージョンへ、28個の直接および推移的なRust依存パッケージを更新しました（encoding_rs 0.8.44、openssl 0.10.82、pulldown-cmark 0.13.6、ureq 3.5.1、uuid 1.29.2 など）。ソースからのビルドにはRust 1.99以降が必要です。 (@YamatoSecurity)

コントリビューター

• @YamatoSecurity

詳細はCHANGELOG-Japanese.mdをご確認ください。